Kimi K3 reproduit la vulnérabilité à haut risque de Redis en 27 minutes

iconKuCoinFlash
Partager
AI summary iconRésumé
Un rapport de MetaEra montre que Kimi K3 a reproduit une vulnérabilité Redis connue en 27 minutes en utilisant 32 agents. Chaofan Shou, le chercheur, a confirmé que le modèle a généré un code d'exploitation fonctionnel et un script d'attaque complet. La vulnérabilité avait déjà été corrigée dans Redis 8.8.0. Une gestion efficace des risques est essentielle pour les développeurs utilisant des outils similaires. Ce test souligne la nécessité d'équilibrer l'innovation avec le rapport risque-récompense dans les pratiques de sécurité.
ME AI message, selon le suivi de Beating, Chaofan Shou, chercheur en sécurité qui avait précédemment découvert la fuite accidentelle du code source de Claude Code, a demandé à Kimi K3 d’effectuer un test de sécurité autorisé sur une ancienne version de Redis 8.6.x. Le modèle a activé 32 agents et a identifié la vulnérabilité en seulement 27 minutes, tout en générant un programme d’attaque fonctionnel. Son prompt autorisait le modèle à appeler jusqu’à 64 sous-agents. Les tâches incluaient le clonage du code source de Redis, la recherche de vulnérabilités telles que les débordements de tampon et l’utilisation après libération de mémoire. Le modèle pouvait également créer ses propres outils de fuzzing, intégrer du code de surveillance, puis utiliser GDB pour le débogage. Shou affirme que Kimi K3 est le premier grand modèle à la fois « capable et disposé à écrire des exploits ». Ici, « disposé » signifie que le modèle n’a pas refusé directement en raison de restrictions de sécurité, mais a poursuivi l’exécution dans le cadre clairement autorisé d’un test. Kimi a même transformé la vulnérabilité en un code d’attaque complet permettant d’exécuter des commandes spécifiques sur le serveur hébergeant Redis. Le PoC public a été validé sur Redis 6.2.22, 7.4.9 et 8.6.4. Toutefois, il ne s’agit pas d’un nouveau 0day ; Redis avait déjà corrigé cette même voie d’attaque dans la version 8.8.0. (Source : BlockBeats)
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations. Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.