KI-Entdeckung von Redis-Lücken: Sensation oder übertriebene Behauptung?

Doch die öffentlich zugänglichen Belege und Analysen unabhängiger Experten zeichnen ein vielschichtigeres Bild. Die Behauptungen sind in Teilen umstritten.

Die dokumentierten Exploits

Die von Bera Buddies veröffentlichten Proof-of-Concept-Codes decken zwei konkrete Angriffspfade ab :

• Für Redis 6.2.22, 7.4.9 und 8.6.4: Eine Stream-Consumer-Group-Shared-NACK-Double-Free-Schwachstelle, die mit der unvollständigen Behebung von CVE-2026-25589 zusammenhängt. Sie ermöglicht eine authentifizierte RCE.
• Für Redis 8.8.0: Ein TDigest-Heap-Überlauf im gebündelten RedisBloom-Modul, der ebenfalls eine authentifizierte RCE erlaubt.

Alle Angriffsketten benötigen den RESTORE-Befehl; einige nutzen zusätzlich EVAL, XGROUP oder das RedisBloom-Modul . Redis brachte am 23. Juli sieben Sicherheitsupdates heraus, um diese Schwachstellen zu schließen . Die Exploits werden als nicht-destruktiv beschrieben und gegen offizielle Redis-Docker-Images demonstriert .

Warum Redis-Entwickler und Analysten Zweifel anmelden

Mehrere gewichtige Faktoren führen zu breiter Skepsis :

• Aufgeblähter Umfang ohne Beweise: Die öffentlichen Belege stützen einen ernstzunehmenden Exploit für Redis 8.8.0, nicht jedoch die behaupteten 19 Zero-Days. Diese Zahl und der genannte Zeitrahmen sind von keiner unabhängigen Stelle bestätigt.
• Keine bestätigte CVE-Zuordnung: Die 27-Minuten-Behauptung hat keine gesicherte CVE-Zuweisung. Es handelt sich um ein separates Ereignis von fünf korrigierten CVEs (CVE-2026-23479, CVE-2026-25243, CVE-2026-25588, CVE-2026-25589, CVE-2026-23631), die Redis namentlich genannten menschlichen Forschern zuschreibt und die bereits am 5. Mai 2026 gepatcht wurden. Die Vermischung dieser Ereignisse wird als „der größte einzelne Berichtsfehler“ in der Berichterstattung bezeichnet .
• Nachvollziehen bekannter Schwachstellen: Einige Berichte beschreiben, dass Kimi K3 „eine bekannte Redis-Sicherheitslücke reproduziert“ habe, die in Redis 8.8.0 bereits behoben war . Eine Analyse stellt fest, dass der Agent bei seinen Tests „bekannte Speichersicherheitsprobleme miteinander verknüpfte, anstatt isolierte neue Fehler zu entdecken“ .
• Internetzugang während des Experiments: Der Forscher bestätigte, dass das Modell während des Tests Internetzugang hatte. Kritiker argumentieren, dass das Modell dadurch auf vorhandene Informationen zu Schwachstellen oder Exploit-Code hätte zugreifen können, was die Behauptung einer vollständig autonomen Entdeckung untergräbt .
• Bewertung durch britische und US-Behörden: Eine gemeinsame vorläufige Bewertung des britischen AI Safety Institute (AISI) und des US-amerikanischen Centre for AI Standards and Innovation (CAISI) kommt zu dem Ergebnis, dass Kimi K3 „bei autonomen Cyberangriffsaufgaben deutlich unter den neuesten leistungsfähigen Cyber-Modellen“ liegt . Bei einem simulierten Angriff auf ein Unternehmensnetzwerk erreichte Kimi K3 im Durchschnitt Schritt 17 einer 32-stufigen Angriffskette, während die fähigsten US-Modelle 28,5 Schritte erreichten . Die Schutzmechanismen des Modells „verhinderten nicht, dass es einen Cyber-Exploit-Versuch unternahm“ .
• Keine unabhängige Überprüfung: Shous Behauptungen wurden weder von den Redis-Entwicklern noch von Moonshot AI unabhängig verifiziert .

Die größeren Zusammenhänge: Autonome KI-Agenten in der Offensivsicherheit

Unabhängig vom genauen Umfang von Shous Behauptungen zeigt die Demonstration bedeutende Entwicklungen auf:

• Drastische Verkürzung der Exploit-Entwicklungszeit: KI-Agenten verkürzen die Zeitspanne zwischen der Analyse von Quellcode und der Erstellung eines funktionsfähigen Exploits massiv. Das könnte das Zeitfenster für Verteidiger zur Überprüfung und Bereitstellung von Patches drastisch verkleinern .
• Risiko durch offene Gewichte: Kimi K3 ist ein offenes Modell (Open-Weight) mit 2,8 Billionen Parametern, das am 27. Juli zur vollständigen Veröffentlichung freigegeben werden soll . Anders als API-gesteuerte Modelle kann es dann jeder herunterladen, verfeinern und in eigene Tools integrieren, was die Hürde für offensive Nutzung senkt .
• Noch unreife Fähigkeiten an der Spitze: Die Bewertung durch die britischen und US-Behörden sowie unabhängige Benchmarks deuten darauf hin, dass die aktuellen Fähigkeiten zur autonomen Ausnutzung noch am Anfang stehen . Kimi K3 schneidet bei der Code-Analyse und der Wiederentdeckung von Schwachstellen gut ab – es entdeckte 23 von 26 bekannten CVEs in einem speziellen Benchmark –, hinkt aber bei vollständig autonomen Angriffen auf realistische Netzwerke hinter den Spitzenmodellen her . In einem unabhängigen Test erreichte Kimi K3 32,2 % bei einem offensiven Cybersicherheitstest, weniger als die Hälfte des Durchschnittswerts von 76,2 % führender US-Modelle, und es gelang ihm bei keinem von 41 getesteten Schwachstellen eine beliebige Codeausführung .
• Neue defensive Dringlichkeit: Die Demonstration hat die Forderungen nach automatisierter Patch-Priorisierung, Echtzeit-Analysewerkzeugen und strengeren Kontrollen bei der Veröffentlichung leistungsstarker Open-Weight-Modelle verstärkt . Die Cybersicherheitsbranche steht vor einer Zukunft, in der sich das Fenster von der Schwachstelle zum Exploit von Monaten auf Minuten verkürzt und KI-Agenten mit Maschinengeschwindigkeit gleichzeitig gegen mehrere Ziele vorgehen können .