22 Firefox कमज़ोरियाँ: Claude ने दो हफ़्ते में खोजीं
6 मार्च 2026 को रिपोर्ट हुई Mozilla के साथ सुरक्षा साझेदारी में Anthropic के Claude ने दो हफ़्ते में 22 Firefox कमज़ोरियाँ खोजीं, और Mozilla ने उनमें से 14 को गंभीर रेट किया। ज़्यादातर Firefox 148 में ठीक हुईं। Anthropic के अनुसार ये 14 पूरे 2025 में ठीक की गई गंभीर Firefox खामियों का लगभग पाँचवाँ हिस्सा हैं। सॉफ़्टवेयर कंपनियों के लिए यह दिखाता है कि AI गंभीर बग तेज़ी से खोज सकता है, और काम उसकी रिपोर्ट की जाँच और सुधार की ओर चला जाता है।
Mozilla का ब्राउज़र AI से बग खोजने की कठिन परीक्षा क्यों था
Firefox दुनिया के सबसे अच्छी तरह टेस्ट किए गए ओपन-सोर्स प्रोजेक्ट में से एक है, इसीलिए Anthropic ने उसे चुना। कंपनी ने कहा कि उसने Firefox इसलिए चुना क्योंकि "वह एक जटिल कोडबेस है और दुनिया के सबसे अच्छी तरह टेस्ट किए और सुरक्षित ओपन-सोर्स प्रोजेक्ट में से एक भी।" करोड़ों लोग इसे रोज़ इस्तेमाल करते हैं, और ब्राउज़र की खामियाँ खतरनाक हैं क्योंकि यूज़र लगातार अविश्वसनीय कंटेंट लोड करते हैं।
Mozilla के इंजीनियरों के पास सतर्क रहने की वजह थी। Brian Grinstead और Christian Holler ने लिखा कि उन्होंने पहले के AI-सहायता वाले बग डिटेक्शन सिस्टम के मिले-जुले नतीजे देखे थे।
Anthropic और Mozilla ने साथ मिलकर क्या किया
Anthropic की टीम ने दो हफ़्ते Claude Opus 4.6 इस्तेमाल किया, पहले Firefox के JavaScript इंजन से शुरू करके और फिर ब्राउज़र के दूसरे हिस्सों पर जाकर। इंजन सुविधाजनक शुरुआत था: उसका अकेले विश्लेषण हो सकता है, और वह वेब से आया अविश्वसनीय कोड प्रोसेस करता है।
बीस मिनट की खोज के बाद Claude ने Use After Free रिपोर्ट किया, एक मेमोरी खामी जो हमलावर को डेटा ओवरराइट करने दे सकती है। टीम ने उसे Mozilla के इश्यू ट्रैकर Bugzilla में Claude के लिखे प्रस्तावित पैच के साथ दर्ज करने से पहले Anthropic के तीन शोधकर्ताओं ने वैलिडेट किया। जब तक वह पहली रिपोर्ट दर्ज हुई, Claude पचास और अनूठे क्रैश करने वाले इनपुट खोज चुका था।
रिपोर्ट AI से सुधार तक कैसे पहुँचीं
Mozilla ने रफ़्तार से मेल खाने के लिए प्रक्रिया बदली। तकनीकी चर्चा के बाद Mozilla के एक शोधकर्ता ने Anthropic से कहा कि वह हर एक को वैलिडेट किए बिना निष्कर्ष थोक में जमा करे। कुल मिलाकर टीम ने लगभग 6,000 C++ फ़ाइलें स्कैन कीं और 112 अनूठी रिपोर्ट जमा कीं।
"घंटों के भीतर हमारे प्लेटफ़ॉर्म इंजीनियरों ने फ़िक्स लैंड करना शुरू कर दिया, और हमने Anthropic के साथ घनिष्ठ सहयोग शुरू किया ताकि यही तकनीक ब्राउज़र के बाकी कोडबेस पर लगाई जा सके।" — Brian Grinstead और Christian Holler, Mozilla इंजीनियर
दो हफ़्ते की AI बग खोज में क्या मिला
नतीजा: 22 Firefox कमज़ोरियाँ, 22 CVE जारी। Mozilla ने उनमें से 14 को गंभीर रेट किया, जो Anthropic के अनुसार 2025 में ठीक की गई सभी गंभीर Firefox खामियों का लगभग पाँचवाँ हिस्सा है। फ़रवरी 2026 में मिली 22 कमज़ोरियाँ 2025 के किसी एक महीने में रिपोर्ट हुई संख्या से ज़्यादा थीं।
ज़्यादातर फ़िक्स फ़रवरी में जारी Firefox 148 में आए, और बाकी आने वाले रिलीज़ में आने हैं। Mozilla के शोधकर्ताओं ने तब से सुरक्षा कामों के लिए आंतरिक रूप से Claude के साथ प्रयोग शुरू कर दिए हैं।
Claude बग खोजने में एक्सप्लॉइट करने से बेहतर क्यों रहा
Anthropic ने यह भी परखा कि क्या Claude खामियों को हमलों में बदल सकता है। उसने टेस्ट कई सौ बार चलाया और लगभग $4,000 के API क्रेडिट खर्च किए, फिर भी Claude ने सिर्फ़ दो मामलों में काम करने वाला एक्सप्लॉइट बनाया। वे एक्सप्लॉइट सिर्फ़ ऐसे टेस्ट एनवायरनमेंट में चले जहाँ सैंडबॉक्स समेत ब्राउज़र की कुछ सुरक्षाएँ हटा दी गई थीं।
Anthropic ने दो सबक निकाले: Claude बग खोजने में एक्सप्लॉइट करने से बहुत बेहतर है, और खामी खोजना उसका एक्सप्लॉइट बनाने से एक गुना कम महँगा पड़ता है। कंपनी ने चेताया कि यह अंतर लंबे समय तक रहने की संभावना नहीं है।
सॉफ़्टवेयर कंपनियों के लिए AI बग खोज का मतलब
सॉफ़्टवेयर भेजने वाली किसी भी कंपनी के लिए यहाँ काम हमलावरों से पहले गंभीर खामियाँ खोजना है। AI यह खोज तेज़ और सस्ती करता है, पर मेंटेनरों पर रिपोर्ट की बाढ़ भी लाता है। Mozilla का जवाब था Anthropic को ठीक-ठीक बताना कि कौन से निष्कर्ष चाहिए, और थोक जमा स्वीकार करना।
Anthropic AI एजेंट को "टास्क वेरिफ़ायर" देने की सलाह देता है, यानी अपने काम की जाँच का भरोसेमंद तरीका, जैसे टेस्ट जो पुष्टि करें कि बग अब ट्रिगर नहीं हो सकता और फ़िक्स से कुछ और नहीं टूटता। TechCrunch ने नोट किया कि AI टूल काम के साथ खराब मर्ज रिक्वेस्ट की बाढ़ भी ला सकते हैं, जो जाँच के चरण को वह असली लागत बना देता है जिसकी योजना बनानी चाहिए।
सवाल और जवाब
Claude ने कितनी Firefox कमज़ोरियाँ खोजीं?
Claude Opus 4.6 ने दो हफ़्ते में 22 कमज़ोरियाँ खोजीं, और Mozilla ने उनमें से 14 को गंभीर रेट किया। ज़्यादातर Firefox 148 में ठीक हुईं।
क्या Claude खोजे गए बग को एक्सप्लॉइट कर सका?
बस कभी-कभार। कई सौ कोशिशों के बाद Claude ने दो मामलों में कच्चा एक्सप्लॉइट बनाया, और सिर्फ़ ऐसे टेस्ट एनवायरनमेंट में जहाँ सैंडबॉक्स जैसी सुरक्षाएँ हटी थीं।
क्या Mozilla अब भी सुरक्षा के लिए Claude इस्तेमाल कर रही है?
Anthropic के अनुसार Mozilla के शोधकर्ताओं ने तब से आंतरिक रूप से सुरक्षा उद्देश्यों के लिए Claude के साथ प्रयोग शुरू किए हैं।
MOZGII की राय
हम इसे कैसे बनाते
AI से बग खोजना अब आसान आधा हिस्सा है। कठिन आधा उसके बाद की कतार है: किसी को हर रिपोर्ट की पुष्टि करनी है, उसकी गंभीरता तय करनी है और फ़िक्स भेजना है। अगर हम किसी सॉफ़्टवेयर कंपनी के लिए यह बना रहे होते, तो सिस्टम को मॉडल के नहीं, उसी कतार के इर्द-गिर्द डिज़ाइन करते।
मॉडल कोड का एक-एक हिस्सा स्कैन करता, वहाँ से शुरू करके जहाँ अविश्वसनीय इनपुट आता है। हर निष्कर्ष के साथ क्रैश दोहराने वाला टेस्ट केस और प्रस्तावित पैच आता। किसी इंसान के देखने से पहले दूसरा टूल टेस्ट दोबारा चलाता, जाँचता कि पैच क्रैश हटाता है, और मौजूदा टेस्ट सूट चलाकर देखता कि पैच ने कुछ तोड़ा तो नहीं। सिर्फ़ पास होने वाले निष्कर्ष सुरक्षा टीम तक पहुँचते, जो गंभीरता का अंतिम फ़ैसला रखती है।
यह वॉल्यूम पर टूटता है। जो मॉडल पचास क्रैश करने वाले इनपुट खोजे जबकि इंसान एक जाँचे, वह छोटी टीम को दबा देगा। हम मेंटेनरों से पहले ही तय कर लेते, जैसा Mozilla ने किया, कि किस तरह के निष्कर्ष चाहिए, और बाकी अपने आप छोड़ देते।
हम एक ही मेट्रिक देखते: AI रिपोर्ट का वह हिस्सा जिसे मेंटेनर असली सुरक्षा खामी मानते हैं। अगर वह गिरे, तो स्कैनिंग बढ़ाने से पहले फ़िल्टर पर काम चाहिए। अगला कदम होता यही सेटअप पैच पर ही लगाना, ताकि फ़िक्स उतनी ही सख्ती से टेस्ट हों जितनी सख्ती से बग खोजे गए थे।
स्रोत
इस खबर के तथ्य इन स्रोतों से लिए गए हैं।