Hacker segnala falla a Sony per 50.000 dollari e scatena la polemica sull'IA nella scena PS5 Linux

Cinquantamila dollari: è la ricompensa che un hacker noto come "Jordy" ha incassato da Sony dopo aver segnalato, attraverso la piattaforma HackerOne, una vulnerabilità critica nel software di PS5. Il premio, però, ha un prezzo: la segnalazione ha di fatto fatto naufragare il progetto che portava Linux sulla console, e ha messo contro di lui una parte della community che ci lavorava.

La falla è un "Hypervisor Bug" che interessa PS5 con firmware dalla versione 13.60 alla 14.00. Come altri bug dello stesso tipo, si trova nello strato interno del software di sistema e permette di eseguire codice sul kernel. Può anche rendere possibile un dual boot, cioè l'avvio di un secondo sistema operativo accanto a quello ufficiale.

Quel bug era la base del lavoro di theflow0, ovvero il security engineer di Google Andy Nguyen, impegnato nell'integrazione di Linux su PS5. A quanto riportato, Nguyen lo aveva trovato già nel 2025 e aveva scelto di non segnalarlo, usandolo per studiare come far girare Linux in dual boot, mantenendo anche la modalità standard con il firmware Sony.

Il motivo del silenzio era pratico. Sony prepara un nuovo firmware pensato anche per spingere gli utenti ad aggiornare in vista di GTA 6. Se la falla non fosse stata corretta, l'aggiornamento l'avrebbe probabilmente conservata, e anche chi avesse installato il firmware recente avrebbe potuto avviare Linux. L'idea, in sostanza, era giocare a GTA 6 e avere comunque il dual boot. Jordy ha rotto questo tacito accordo della community.

Non è l'unico elemento in gioco. Jordy ha scoperto la falla usando un LLM, come ha spiegato lui stesso a theflow0 nei loro contatti. All'inizio i due si erano accordati per non rivelare l'esistenza del bug. Pochi giorni dopo, però, un altro utente l'avrebbe individuato a sua volta con l'IA, e questo ha convinto Jordy a segnalarlo a HackerOne e a prendere la ricompensa.

Le polemiche sono arrivate subito, probabilmente anche per il messaggio su X con cui il ragazzo ha pubblicizzato l'impresa. Poi la discussione si è allargata a come l'IA stia cambiando l'hacking. Theflow0 ha risposto con parole dure: un tempo la comunità era fatta di ricercatori di grande talento, ora è "un branco di novellini" che usano gli LLM e scrivono hack di cui non capiscono il funzionamento. Ha aggiunto che dei ragazzini incapaci hanno trovato l'unico bug rimasto nell'hypervisor, che anche lui aveva individuato tempo prima.

La conclusione è netta: si allontana dalla scena PS5 e interrompe ogni lavoro su Linux per la console. Dopo mesi della sua vita e il cuore messo nel progetto, compresi i piani per completare il supporto a PS5 Pro e il rilascio nel 2027, dice che è tutto andato in fumo.

A IGN, madwax0r, esperto del settore e creatore del tracker di emulatori Kaishaku, ha indicato nell'IA la vera benzina sul fuoco. Storicamente i bug negli hypervisor erano così rari che un ricercatore poteva tenerne uno per sé un anno intero. Oggi molti fanno analizzare codice di console agli LLM per cercare vulnerabilità, e quindi più persone si imbattono contemporaneamente nello stesso bug.

Il caso mostra dunque un meccanismo che potrebbe ripetersi: se le stesse falle vengono scoperte in parallelo da più parti, tenerle riservate diventa sempre più difficile, con conseguenze per i progetti homebrew e per la sicurezza delle console.