W 2020 roku odkrył serię błędów w obsłudze formatu obrazów Qmage przez bibliotekę graficzną Skia w smartfonach Samsung. Pozwalały one przejąć kontrolę nad telefonem za pomocą spreparowanej wiadomości MMS, bez żadnego działania użytkownika. Samsung udostępnił poprawki w maju 2020 roku.
W latach 2022–2023 przeprowadził audyt rejestru systemu Windows. Złożył 39 zgłoszeń, które Microsoft usunął jako 44 podatności z identyfikatorami CVE. Wraz z mniej poważnymi problemami zgłoszonymi na przełomie 2023 i 2024 roku badanie przyniosło łącznie 50 identyfikatorów CVE.
Nagrody i wyróżnienia Czterokrotnie otrzymał nagrodę Pwnie Award: w 2012 roku w kategorii „Best Privilege Escalation Bug”, w 2013 roku w kategorii „Most Innovative Research” (wspólnie z Gynvaelem Coldwindem), a w latach 2015 i 2020 w kategorii „Best Client-Side Bug”. Był też nominowany do tej nagrody w innych latach, m.in. w 2011 roku w kategorii „Best Privilege Escalation Bug” za błąd w podsystemie CSRSS systemu Windows. W latach 2015–2019 znajdował się na liście stu najważniejszych badaczy bezpieczeństwa Microsoft Security Response Center, w 2017 roku na pierwszym miejscu.