Ein anonymer Sicherheitsforscher hat auf GitHub unter dem Pseudonym bikini ein Sammelrepository mit dem Namen Exploitarium veröffentlicht und darin auf einen Schlag Dutzende Proof-of-Concept-Exploits für teils weitverbreitete Software zusammengeführt. Wer hinter dem Projekt steckt, bleibt unklar, erreichbar ist die Person nach eigenen Angaben ausschließlich über Discord unter dem Nutzernamen "ashdfrkl". Das Repository fasst frühere Einzelprojekte in einem gemeinsamen Archiv zusammen und ergänzt sie um neue, direkt dort veröffentlichte Funde.

Populäre Programme betroffen

Betroffen sind laut Auflistung im Repository unter anderem Programme wie 7-Zip, AnyDesk, curl, Docker, Firefox, Ghidra, ImageMagick, MyBB, Next.js, RustDesk und VLC. Insgesamt führt die Übersicht 26 Ordner mit jeweils mehreren nachverfolgten Einträgen auf, einige davon mit über 40 Dateien. Der Autor gibt an, den Zusammenführungsprozess selbst überprüft zu haben: Zwölf frühere Standalone-Repos und 96 nachverfolgte Einträge seien anhand von Git-Blob-IDs mit den ursprünglichen Versionen abgeglichen worden, ohne dass dabei Abweichungen aufgetaucht seien. Repository-Metadaten wie Sterne, Issues oder die ursprüngliche Commit-Historie blieben davon laut eigener Aussage unberührt und verbleiben in den alten Repositories.

Zum Einsatz künstlicher Intelligenz äußert sich der Forscher ungewöhnlich offen. Für das Fuzzing habe er durchgehend das Modell GPT-5.3-Codex-Spark eingesetzt, in Kombination mit einem eigens entwickelten Harness, der laut eigener Einschätzung kaum eigenständiges "Denken" der KI erfordere. Die eigentlichen PoC-Skripte will er dagegen selbst von Hand geschrieben haben, mit Ausnahme des RustDesk-Funds, bei dem er sich mangels Sprachkenntnissen KI-Unterstützung geholt habe. Die README-Dateien seien vollständig KI-generiert, aber nach eigenen Angaben inhaltlich gegengeprüft worden. Der Forscher betont zudem, über einen akademischen Hintergrund und veröffentlichte Arbeiten zur Fuzzing-Methodik zu verfügen, und wehrt sich damit gegen den Eindruck, es handle sich lediglich um experimentierfreudige Laienarbeit.

Weitere Exploits sollen folgen

Bemerkenswert ist auch ein Hinweis zur Urheberschaft: Bei einem Fund rund um das Tool objdump verweist der Forscher darauf, dass ein anderer Entwickler namens 4D4J bereits früher eine vergleichbare, sogar ausgereiftere PoC veröffentlicht habe, und verlinkt dessen Arbeit ausdrücklich als vorrangige Quelle. Für die kommenden Tage kündigt der Autor weitere, nach eigener Aussage besonders umfangreiche Veröffentlichungen an, nachdem sich ein angekündigter "großer Drop" zunächst verzögert hatte. Begleitet wird das Repository von einem deutlichen Hinweis, die veröffentlichten Inhalte ausschließlich zu Forschungszwecken und nicht für missbräuchliche Zwecke zu nutzen.

Die Veröffentlichung reiht sich in eine wachsende Zahl KI-gestützter Fuzzing-Projekte ein, die derzeit in der Sicherheitscommunity diskutiert werden, insbesondere mit Blick auf die Frage, wie stark automatisierte Werkzeuge die Suche nach Schwachstellen beschleunigen können. Ob und in welchem Umfang die betroffenen Hersteller die gemeldeten Lücken bereits geschlossen haben, lässt sich anhand der im Repository verfügbaren Angaben allein nicht abschließend beurteilen. Die Angaben zu Umfang, Prüfmethodik und beteiligten Werkzeugen stammen ausschließlich aus der Selbstdarstellung des Autors und sind bislang nicht unabhängig verifiziert.