Kimi, K3 ile Redis'in yüksek riskli zafiyetini 27 dakikada kopyaladı

iconKuCoinFlash
Paylaş
AI summary iconÖzet
Bir MetaEra raporu, Kimi K3'ün 32 ajan kullanarak bir Redis zafiyetini 27 dakikada kopyaladığını gösteriyor. Araştırmacı Chaofan Shou, modelin çalışır durumda bir istismar kodu ve tam bir saldırı betiği oluşturduğunu doğruladı. Zafiyet, Redis 8.8.0'da zaten düzeltilmişti. Benzer araçları kullanan geliştiriciler için etkili risk yönetimi kritik öneme sahiptir. Test, güvenlik uygulamalarında yenilik ile risk-getiri oranını dengelemenin gerekliliğini vurgulamaktadır.
ME AI mesajı, Beating izleme sistemi tarafından tespit edilen ve Claude Code kaynak kodunun kasıtsız sızdırılmasını önceden fark eden güvenlik araştırmacısı Chaofan Shou, Kimi K3'ün eski Redis 8.6.x sürümü üzerinde yetkili güvenlik testi yapmasını sağladı. Model, 32 adet Agent'i harekete geçirerek sadece 27 dakikada bir zafiyet buldu ve çalışır durumda bir saldırı programı yazdı. Shou'nun verdiği talimatlar, modele en fazla 64 alt Agent çağırma izni veriyordu. Görevler, Redis kaynak kodunu klonlamayı, arabellek taşması ve bellek serbest bırakıldıktan sonra tekrar kullanılması gibi zafiyetleri bulmayı içeriyordu. Model ayrıca kendi bulanık test araçlarını yazabilir, izleme kodları ekleyebilir ve GDB ile hata ayıklayabilirdi. Shou, Kimi K3'ün «hem yeteneğe sahip hem de bir zafiyet exploit kodu yazmaya istekli» olan ilk büyük model olduğunu söyledi. Buradaki «istekli» ifadesi, modelin güvenlik kısıtlamaları nedeniyle doğrudan reddetmek yerine, açıkça yetkili bir test kapsamında görevi tamamlamasını ifade ediyor. Kimi ayrıca zafiyeti tam bir saldırı koduna dönüştürdü ve Redis'in bulunduğu sunucunun belirli komutları çalıştırmasını sağladı. Açık PoC, Redis 6.2.22, 7.4.9 ve 8.6.4 sürümlerinde doğrulandı. Ancak bu, yeni bir 0day keşfi değil. Redis daha önce aynı saldırı yolunu 8.8.0 sürümünde kapatmıştı. (Kaynak: BlockBeats)
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir. Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.