AI агенти на Kimi K3 намериха zero-day дупки в Redis

Екип, представящ се като „Bera Buddies“ и определящ работата си като „AI Agent Research“, съобщи, че е насочил автономни агенти, задвижвани от китайския open-source модел Kimi K3 на Moonshot AI, срещу популярната база данни в паметта Redis — и агентите са открили набор от zero-day уязвимости, а за една от тях са написали работещ експлойт за отдалечено изпълнение на код (RCE). По думите на групата агентите намерили 19 zero-day дупки за около 90 минути, а генерирането на конкретния експлойт отнело едва 27 минути. Историята е описана от The Hacker News на 24 юли 2026 г.

Какви са дупките

От описаните проблеми се открояват два пътя към RCE. Първият е бъг в Streams (Shared-NACK): повреден RDB обект кара двама консуматора да сочат към един и същ запис за чакащо съобщение, което създава double-free състояние, когато и двата бъдат премахнати. Вторият е пропуск в TDigest loader-а на RedisBloom — out-of-bounds запис, при който loader-ът заделя памет спрямо една стойност, но се доверява на контролирано от атакуващия поле за капацитета при зареждането на данните.

И двата пътя изискват командата RESTORE, за да бъдат задействани, и засягат версии като Redis 6.2.22, 7.4.9, 8.6.4 и 8.8.0. Redis вече е издал кръпки — сред тях 6.2.23, 7.2.15 и 7.4.10 за Streams, 8.2.8, 8.4.5 и 8.6.5 за двата проблема, както и 8.8.1 за loader-ите на RedisBloom. В хранилището се цитира CVE-2026-25589, но Redis го е свързал с повредата на паметта в RedisBloom, а не с бъга в Streams. Към момента на публикацията няма потвърдена експлоатация в реални условия.

Как е използван моделът за автономно откриване

Същината на новината не е самата база данни, а методът: изследователите не са търсили дупките на ръка, а са оставили LLM-агенти да анализират кода, да формулират хипотези за уязвимости и да ги проверят до работещ proof-of-concept. Това е поредната стъпка в тенденция, която видяхме и при VulnHunter на Capital One — AI, който сам намира и потвърждава пропуски в софтуер.

Именно тук се появява и офанзивният въпрос: същият инструмент, който помага на защитата да намери дупки преди злонамерените, върши и точно обратното в чужди ръце. Скоростта — минути вместо дни ръчен анализ — сваля бариерата пред всеки с достъп до способен модел.

Защо това повдига въпроса за офанзивния AI

Проблемът е, че границата между офанзивна и дефанзивна употреба е неразделима. „Един и същ инструмент е и офанзивен, и дефанзивен, и двете не могат да се разплетат“, коментира Крис Анли, главен учен в NCC Group, пред TechCrunch. Затова водещите американски лаборатории слагат предпазни парапети (guardrails) върху най-острите кибер-заявки — Anthropic с Cyber Verification Program около Fable, OpenAI с програма за доверен достъп на защитници.

Но тези огради имат странична цена. Изследователи се оплакват, че легитимната им работа буксува, а Крис Томпсън от RemoteThreat предупреждава, че „отговорните изследователи биват изтласквани от системи под американско управление към чуждестранни“. Именно open-source модели като Kimi K3 или GLM се въртят локално без ограничения — което ги прави удобни точно за такива експерименти.

Парадоксът: Kimi K3 всъщност изостава по кибер-експлойти

Иронията е, че по независими оценки Kimi K3 не е върхът в тази област. Според тестове, докладвани от The Decoder и извършени от британския AI Security Institute и американския CAISI, на бенчмарка ExploitBench Kimi K3 отбелязва 32,2% — далеч под водещите US модели с 76,2%, макар и над GLM-5.2 с 24,4%. При задачите за произволно изпълнение на код моделът реализира нула успешни експлойта от 41 опита, докато US моделите успяват в 20 от 41.

Обяснението, което се предлага, е дестилацията. Ако Kimi K3 е трениран частично върху изходи от Claude — обвинение, което Белият дом отправи към Moonshot — то класификаторите за безопасност на Anthropic блокират именно острите офанзивни заявки. Резултатът: тези примери са слабо представени в дестилирания набор, а „ученикът“ наследява дупка точно в кибер-способностите.

Заключение

Случаят Redis показва две неща наведнъж. Дори модел, който изостава по бенчмаркове, вече върши реална работа по откриване на дупки — а това вдига летвата за защитниците. Същевременно опитите да ограничим офанзивния AI през огради в затворените модели тласкат част от изследователите към open-source алтернативи без спирачки. Кръпките за Redis вече ги има; по-трудният въпрос — кой и как да контролира тези способности — остава отворен.