0day Rubbish

À propos de 0day Rubbish

0day Rubbish se présente comme un projet de divulgation publique « radicale » de vulnérabilités de type 0-day, entièrement assistée par intelligence artificielle. Contrairement à une plateforme SaaS classique, il s’agit d’un site web qui publie des preuves de concept (PoC) exploitables et des analyses techniques dès la découverte d’une faille, sans attendre la coordination avec les éditeurs concernés. Le projet met en avant un pipeline multi-agent basé sur plusieurs grands modèles de langage (LLM), une orchestration automatisée des étapes de détection et de validation, ainsi qu’une publication « jour zéro » des vulnérabilités de type exécution de code à distance (RCE). L’objectif affiché est d’accélérer la prise de conscience des risques et de forcer les correctifs, quitte à contourner les processus traditionnels de divulgation responsable.

Le site officiel (0day-rubbish.com) ne propose pas d’interface utilisateur interactive, ni d’inscription ; il se concentre sur la mise à disposition de contenus techniques bruts. Le projet se veut un manifeste autant qu’un outil de recherche, soutenu par l’idée que la transparence totale et la rapidité de publication sont plus efficaces que les canaux de signalement classiques pour pousser les éditeurs à agir. Pour les professionnels de la cybersécurité, il s’agit d’une source d’information extrêmement fraîche, mais aussi d’un sujet de débat éthique et juridique.

Fonctionnalités principales

0day Rubbish annonce un ensemble de capacités techniques, toutes pilotées par une chaîne d’agents d’IA. Voici les fonctionnalités mises en avant sur le site et dans sa documentation :

• Découverte de vulnérabilités par IA multi-LLM : le système utilise plusieurs modèles de langage (GPT, Claude, Llama, etc.) pour analyser le code source, identifier des motifs de failles et suggérer des vecteurs d’attaque. Cette approche vise à couvrir un large spectre de types de vulnérabilités.
• Analyse de code automatisée et fuzzing : les agents effectuent une revue statique et dynamique du code, complétée par des techniques de fuzzing pour déclencher des comportements inattendus. Le tout est orchestré sans intervention humaine.
• Génération de preuves de concept exploitables : une fois une faille validée, le pipeline produit automatiquement un PoC fonctionnel, prêt à être reproduit. Les PoC sont accompagnés d’une analyse de la cause racine, des versions affectées et de l’impact potentiel (score CVSS estimé, type d’attaque, etc.).
• Divulgation publique immédiate : contrairement aux programmes de divulgation responsable, 0day Rubbish publie les détails et les PoC sans délai, sans notification préalable à l’éditeur. Cette pratique est revendiquée comme un moyen de « forcer la main » aux entreprises pour qu’elles corrigent rapidement.
• Positionnement « 100 % IA-driven, zero storage, active disclosure » : le projet affirme ne stocker aucune donnée sensible et ne conserver que les résultats de l’analyse. La publication est active, c’est-à-dire que les informations sont mises en ligne dès leur génération.

Ces fonctionnalités placent 0day Rubbish dans une catégorie à part : ce n’est pas un outil que l’on utilise directement en tant qu’utilisateur final, mais plutôt un flux d’informations techniques exploitées par des professionnels de la sécurité offensive ou défensive.

Tarification

0day Rubbish ne propose pas de grille tarifaire au sens traditionnel des logiciels commerciaux. Il n’existe ni abonnement, ni licence, ni plans payants (Basic, Pro, Enterprise). Le site fonctionne comme un projet de recherche / publication, rendant l’accès aux informations publiées gratuit pour tout visiteur. Aucune page de pricing n’est disponible, et aucun mode de financement n’est mentionné.

Il est possible que le projet soit autofinancé par ses créateurs ou qu’il repose sur des dons, mais cela n’est pas précisé. En l’état actuel, l’offre est donc gratuite dans son usage, puisque la consultation des vulnérabilités publiées et des PoC ne nécessite aucune inscription ni paiement. Toutefois, il n’y a ni support technique, ni SLA, ni garantie de continuité. Notons également que l’absence de modèle économique peut soulever des questions sur la viabilité à long terme du projet.

Pour les comparaisons, les alternatives payantes (programmes de bug bounty, plateformes comme HackerOne) facturent généralement des frais de plateforme ou des commissions, tandis que les outils de fuzzing commerciaux peuvent coûter plusieurs centaines de dollars par mois. Mais dans le cas de 0day Rubbish, le coût est nul, ce qui en fait une source d’information accessible à tous, mais avec les risques éthiques et juridiques que cela comporte.

Cas d’utilisation

Le public cible est essentiellement technique : chercheurs en sécurité offensive, analystes de la menace, ingénieurs en rétro-ingénierie, équipes de défense qui surveillent les nouvelles vulnérabilités. Voici les principaux scénarios d’usage :

• Recherche offensive et publication de PoC : les chercheurs peuvent utiliser les informations publiées pour comprendre les techniques d’exploitation, les reproduire dans des environnements contrôlés, et éventuellement les intégrer dans leurs propres tests d’intrusion. Le projet sert de source d’inspiration pour de nouvelles attaques.
• Veille sécurité sur les produits d’entreprise : les équipes de sécurité peuvent s’abonner aux flux RSS ou suivre le site pour être averties rapidement de l’existence d’une 0-day affectant un logiciel qu’elles utilisent. Cela permet de prendre des mesures de contournement ou de prioriser l’application de correctifs dès qu’ils sont disponibles.
• Études sur l’usage des LLM en découverte de vulnérabilités : pour les universitaires ou les professionnels intéressés par l’IA appliquée à la sécurité, 0day Rubbish offre un cas concret de pipeline multi-modèles, avec des résultats publics. Il peut servir de benchmark ou de source de données pour la recherche.
• Démonstrations de pipelines automatisés de recherche de failles : les experts en automatisation peuvent analyser la méthode employée pour concevoir leurs propres systèmes de détection de vulnérabilités, en s’inspirant de l’orchestration présentée.

Dans tous les cas, l’utilisation de 0day Rubbish exige une grande compétence technique, une capacité à analyser des PoC potentiellement dangereux, et une conscience des implications légales (notamment la loi sur la sécurité des réseaux et l’information au Canada, ainsi que les lois internationales).

Notre avis

0day Rubbish est un projet fascinant sur le plan technique, mais controversé sur le plan éthique et opérationnel. D’un côté, sa rapidité de publication est inégalée : les vulnérabilités sont mises en ligne quasiment en temps réel, ce qui permet aux équipes de défense de réagir avant même que les éditeurs n’aient publié un correctif officiel. Le contenu technique – analyse racine, versions affectées, PoC – semble de qualité et peut servir de référence pour la compréhension des attaques complexes. L’approche multi-modèles est également prometteuse pour améliorer la couverture des types de failles.

D’un autre côté, l’absence totale de coordination avec les éditeurs expose à des risques élevés. La publication d’un PoC fonctionnel pour une vulnérabilité non corrigée peut être exploitée par des acteurs malveillants avant que les entreprises ne puissent se protéger. Ce comportement peut aussi exposer le projet à des poursuites judiciaires, surtout si les failles concernent des produits critiques (logiciels médicaux, infrastructures, etc.). De plus, la transparence commerciale est nulle : pas de plans, pas de support, pas de garantie. Le site fonctionne sans engagement, ce qui peut changer à tout moment.

En tant que source d’information pour la veille sécurité, 0day Rubbish est utile, mais il ne remplace pas une démarche de divulgation responsable ni un programme de bug bounty. Pour les équipes de défense, il faut l’utiliser avec prudence : surveiller les publications, mais toujours vérifier l’existence de correctifs avant d’agir. Pour les chercheurs offensifs, c’est une mine d’or, mais une utilisation éthique et légale doit primer.

En résumé, nous recommandons de suivre 0day Rubbish pour rester informé des dernières tendances en matière d’exploitation automatisée, sans pour autant en faire un outil central de votre stratégie de sécurité. Les alternatives traditionnelles (ZDI, HackerOne, Bugcrowd) restent plus encadrées et plus responsables. La valeur ajoutée du projet réside dans sa démonstration de la puissance des LLM en recherche de vulnérabilités, mais son modèle de divulgation radicale risque de nuire à sa crédibilité à long terme.