Модель искусственного интеллекта Kimi K3, разработанная Moonshot AI, продемонстрировала способность самостоятельно обнаруживать критические уязвимости в СУБД Redis и генерировать рабочие эксплойты для удалённого выполнения кода. Результаты, полученные в ходе эксперимента, опубликовала команда исследователей, связанных с проектом.
Детали уязвимости
Kimi K3 содержит 2,8 триллиона параметров и была запущена 16 июля 2026 года. В тестовом сценарии она задействовала 32 субагента, которые проанализировали исходный код Redis, выявили уязвимости нулевого дня и создали эксплойты для версий от 6.2.22 до 8.8.0 включительно. Созданные эксплойты ориентированы на проблемы типа двойного освобождения памяти (double free) и переполнения кучи (heap overflow). Для успешной эксплуатации требуется доступ к определённым командам, которые обычно присутствуют в производственной среде, - например, к командам для работы с модулями или скриптами.
Подобные уязвимости нулевого дня в Redis представляют собой серьёзную угрозу, поскольку база данных широко используется в качестве кэша, брокера сообщений и хранилища сессий в веб-приложениях, микросервисных архитектурах и облачных средах. Redis часто работает внутри изолированных сетей, но ошибочная конфигурация или открытые порты могут сделать его доступным извне. Наличие эксплойта, способного выполнить код на аутентифицированном экземпляре, позволяет злоумышленнику получить контроль над сервером и потенциально перемещаться внутри инфраструктуры (lateral movement).
Скорость, с которой ИИ справился с задачей, вызвала двойственную реакцию в сообществе специалистов по информационной безопасности. С одной стороны, возможность быстрого автоматического поиска уязвимостей может радикально ускорить процесс управления исправлениями (patch management) в организациях, которые используют Redis. ИИ способен анализировать код и находить дефекты, которые человеку потребовалось бы выявлять неделями. С другой стороны, те же возможности могут быть применены злоумышленниками для создания эксплойтов до выпуска официальных исправлений. Особое беспокойство вызывает тот факт, что разработчики Moonshot AI планируют в ближайшее время опубликовать открытые версии модели, что может сделать её доступной для широкого круга лиц, в том числе недобросовестных.
Пока неизвестно, проинформировали ли исследователи разработчиков Redis о найденных уязвимостях до публикации результатов. В официальном репозитории Redis на момент написания заметки не появилось информации о соответствующих исправлениях. Пользователям Redis, особенно тем, кто использует версии 6.2.22 и новее, рекомендуется провести аудит конфигурации: проверить, какие команды доступны аутентифицированным клиентам, отключить неиспользуемые, а также ограничить использование команд, способных модифицировать состояние сервера (например, MODULE, DEBUG, SCRIPT). Если нет необходимости в удалённом доступе, следует привязать Redis к локальному интерфейсу или использовать файрвол. Дополнительно можно включить режим защиты (protected mode) и настроить списки контроля доступа (ACL).
Сценарий с использованием ИИ для обнаружения уязвимостей нулевого дня не является единичным - ранее подобные подходы демонстрировали модели GPT и Claude, но Kimi K3, по заявлениям авторов, обошла их по скорости и полноте анализа. Это указывает на формирующийся тренд: системы ИИ становятся инструментом как для обороны, так и для атаки, и баланс может сместиться в сторону автоматизации. Регуляторам и сообществу разработчиков открытого ПО предстоит искать способы контролировать применение таких систем, не замедляя при этом прогресс в кибербезопасности. Пока же администраторам Redis имеет смысл внимательно следить за обновлениями безопасности и готовиться к возможному появлению эксплойтов в публичном доступе.
Ссылки
