Автономная система на базе модели Kimi K3, состоящая из 32 ИИ-агентов, обнаружила критическую уязвимость в Redis и довела её до рабочего эксплойтiа за 27 минут с момента запуска. Баг относится к классу RCEi (удалённое выполнение кода) и позволяет выполнить произвольный код на сервере через уже аутентифицированное подключение.

По данным Machinelearning, спустя несколько часов та же система якобы нашла ещё и цепочку атаки на Telegram Desktop и iOS, не требующую действий пользователя — через повреждённый видеофайл с автозагрузкой, при этом до полноценного RCE оставался всего один шаг. Если результаты подтвердятся, это означает резкое ускорение автоматизированного поиска критических уязвимостей.

• От запуска автономного агента до готового эксплойта прошло 27 минут (по данным Data Secrets — «пол часа»)
• Уязвимость найдена роем из 32 ИИ-агентов на базе Kimi K3
• Баг класса RCE позволяет выполнить код на сервере Redis через уже аутентифицированное подключение
• Обнаруженная позже цепочка атаки на Telegram Desktop и iOS не требует действий пользователя и работает через повреждённый видеофайл с автозагрузкой
• Результаты по Telegram-цепочке пока не подтверждены («якобы нашла»)
• Код/доказательство концепции опубликовано на github.com/berabuddies/redis-poc