Вот новость, после которой хочется налить кофе и минуту помолчать. Исследователь Chaofan Shou дал модели Kimi K3 от Moonshot AI задачу против Redis 8.6.x, запустив до 64 параллельных суб-агентов - и модель сама нашла уязвимость, клонировала исходники Redis, написала собственные фаззеры, поработала с GDB и выдала полностью функциональный эксплойт за 27 минут. PoC подтверждён против версий Redis 6.2.22, 7.4.9 и 8.6.4 - сам вектор к тому моменту уже был закрыт в 8.8.0, так что это не свежий zero-day, но сам процесс важнее конкретной дыры.
Shou называет Kimi K3 первой моделью, которая одновременно способна и готова писать код эксплойтов без отказа по соображениям безопасности - разумеется, в рамках авторизованного теста. Отдельная команда исследователей, называющая себя Bera Buddies, независимо сообщила: агенты на основе той же модели нашли 19 кандидатов в уязвимости Redis примерно за полтора часа и написали рабочий RCE для версии 8.8.0 за те же 27 минут, опубликовав PoC на GitHub.
Раньше написание рабочего эксплойта было ремеслом, которому учились годами - как игра на скрипке. Сейчас это выглядит так, будто скрипку научили играть саму себя, причём неплохо, просто предложив ей достаточно смычков и времени. Разница между "исследователь нашёл баг" и "модель нашла баг" всё меньше влияет на то, кто в итоге получает боевой код.
Для обычных пользователей. Прямого риска нет, но стоит понимать: скорость появления атак на популярный софт вроде Redis теперь измеряется минутами, а не неделями, значит и обновления через ваши сервисы будут приходить чаще и внезапнее.
Для бизнеса и CISO. Это сигнал ускорить собственный цикл поиска уязвимостей - если независимые исследователи находят рабочие эксплойты за полчаса, у атакующих с похожими инструментами есть точно такая же возможность. Стоит хотя бы обсудить пилот ИИ-инструментов для внутреннего пентеста, пока конкуренция за скорость не сыграла против вас.
Я слежу за темой ИИ в offensive security больше года, и это первый случай, который реально меня удивил скоростью, а не только фактом возможности. Мой прогноз: через год подобные истории перестанут быть новостью и станут рутинной строчкой в отчётах о безопасности open-source проектов.
Автор: Беляев Дмитрий
〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆
✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]
#кибербезопасность #cybersecurity #AIexploit #Redis #offensivesecurity
Источники: TestingCatalog, CSA Research Note