Kimi K3 sao chép lỗ hổng bảo mật nguy hiểm cao của Redis trong 27 phút

iconKuCoinFlash
Chia sẻ
AI summary iconTóm tắt
Một báo cáo của MetaEra cho thấy Kimi K3 đã tái tạo lỗ hổng Redis đã biết trong 27 phút bằng cách sử dụng 32 tác nhân. Chaofan Shou, nhà nghiên cứu, xác nhận mô hình đã tạo ra mã khai thác hoạt động và kịch bản tấn công đầy đủ. Lỗ hổng này đã được vá trong Redis 8.8.0. Quản lý rủi ro hiệu quả là vô cùng quan trọng đối với các nhà phát triển sử dụng các công cụ tương tự. Bài kiểm tra nhấn mạnh nhu cầu cân bằng giữa đổi mới và tỷ lệ rủi ro-lợi ích trong các thực hành bảo mật.
ME AI tin nhắn, theo giám sát của Dongcha Beating, nhà nghiên cứu bảo mật Chaofan Shou, người trước đó phát hiện rò rỉ mã nguồn Claude Code, cho biết ông đã yêu cầu Kimi K3 thực hiện kiểm tra bảo mật có ủy quyền trên phiên bản Redis 8.6.x cũ. Mô hình đã kích hoạt 32 Agent, chỉ mất 27 phút để tìm ra lỗ hổng và viết chương trình tấn công có thể chạy được. Lệnh nhắc của ông cho phép mô hình gọi tối đa 64 Agent con. Nhiệm vụ bao gồm clone mã nguồn Redis, tìm các lỗ hổng như tràn bộ đệm, sử dụng bộ nhớ sau khi giải phóng. Mô hình còn có thể tự viết công cụ kiểm tra mờ, thêm mã giám sát, sau đó gỡ lỗi bằng GDB. Shou cho biết Kimi K3 là mô hình lớn đầu tiên “vừa có khả năng, vừa sẵn sàng viết chương trình khai thác lỗ hổng”. “Sẵn sàng” ở đây có nghĩa là mô hình không từ chối trực tiếp do hạn chế bảo mật, mà vẫn tiếp tục thực hiện khi xác định rõ đây là bài kiểm tra được ủy quyền. Kimi còn chuyển lỗ hổng thành mã tấn công hoàn chỉnh, cho phép máy chủ chạy Redis thực thi lệnh được chỉ định. PoC công khai đã được xác minh trên Redis 6.2.22, 7.4.9 và 8.6.4. Tuy nhiên, đây không phải là lỗ hổng 0day mới lần đầu được phát hiện. Redis trước đó đã vá cùng đường tấn công này trong phiên bản 8.8.0. (Nguồn: BlockBeats)
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này. Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.