Kimi K3: Chinesische KI findet mehrere Zero-Day-Lücken in redis-Datenbank

KI-gestützte Sicherheitsanalyse: Neue Dimension der Schwachstellensuche

Ein IT-Forscher hat mit der chinesischen KI Kimi K3, einem Produkt des Start-ups Moonshot AI, eine bemerkenswerte Entdeckung gemacht. Innerhalb von nur 90 Minuten identifizierte das Sprachmodell 19 bisher unbekannte Zero-Day-Schwachstellen in der weit verbreiteten In-Memory-Datenbank redis. Dieser Vorgang unterstreicht die wachsende Bedeutung von KI-Systemen bei der automatisierten Suche nach Sicherheitslücken, ein Bereich, der bisher spezialisierten Modellen wie denen von OpenAI oder Anthropic vorbehalten schien.

Der Sicherheitsforscher „Chaofan Shou“ dokumentierte seine Ergebnisse auf der Plattform X und stellte zudem Proof-of-Concept-Code (PoC) in einem GitHub-Repository bereit. Dieser Code dient dazu, die Ausnutzbarkeit der gefundenen Lücken praktisch zu demonstrieren.

Reaktion der redis-Entwickler

Das redis-Projekt reagierte umgehend auf die Berichte. In der Nacht zum Freitag wurden aktualisierte Versionen für diverse Entwicklungszweige veröffentlicht, um die identifizierten Sicherheitslücken zu schließen. Betroffen sind unter anderem die Versionen 8.8.1, 8.6.5, 8.4.5, 8.2.8, 7.4.10, 7.2.15 sowie 6.2.23.

Die Entwickler bestätigten die Existenz der Schwachstellen indirekt durch die Bereitstellung dieser Patches. Ein konkretes Beispiel für eine behobene Lücke ist der im Schwachstellenrepository als „P88W“ bezeichnete Exploit. Während eine offizielle Einstufung des Schweregrads oder die Veröffentlichung von CVE-Einträgen (Common Vulnerabilities and Exposures) noch ausstehen, ist die Dringlichkeit der Updates aufgrund des öffentlich zugänglichen Exploit-Codes als hoch einzustufen.

Handlungsempfehlungen für IT-Verantwortliche

Da die Proof-of-Concept-Codes das Risiko eines Missbrauchs durch Angreifer signifikant erhöhen, sollten IT-Administratoren und Verantwortliche umgehend handeln. Es wird dringend empfohlen, die eingesetzten redis-Instanzen auf die jeweils aktuellsten Versionen zu aktualisieren. Da die Quellcodes für die Patches bereits vorliegen, ist damit zu rechnen, dass Linux-Distributionen in Kürze entsprechende Aktualisierungen über ihre Paketverwaltung bereitstellen werden.

Kontext: KI als Werkzeug für Sicherheit und Gefahr

Der Fall Kimi K3 verdeutlicht das zweischneidige Potenzial moderner Künstlicher Intelligenz. Während die Fähigkeit, komplexe Softwarestrukturen in kürzester Zeit auf Schwachstellen zu scannen, die Sicherheit von IT-Infrastrukturen langfristig stärken kann, senkt sie gleichzeitig die Hürden für potenzielle Angreifer. Die Tatsache, dass das Modell nicht nur Lücken findet, sondern auch direkt den passenden Exploit-Code erstellt, stellt eine neue Qualität in der automatisierten Sicherheitsanalyse dar.

Der Erfolg von Kimi K3 sorgt bereits für eine hohe Nachfrage bei Moonshot AI. Das Unternehmen sah sich aufgrund von GPU-Engpässen sogar gezwungen, neue Abonnement-Abschlüsse vorübergehend auszusetzen. Es ist davon auszugehen, dass die Fähigkeit, derartige Sicherheitslücken effizient aufzuspüren, das Interesse an derartigen KI-Modellen weiter befeuern wird.