Kimi K3 ने Redis में 27 मिनट में खोजे जीरो-डे एक्सप्लॉइट? जानिए पूरा सच

• Redis संस्करण 6.2.22, 7.4.9, और 8.6.4 — एक स्ट्रीम कंज्यूमर-ग्रुप शेयर्ड-NACK डबल-फ्री कमजोरी, जो CVE-2026-25589 के अधूरे फिक्स से संबंधित है, जो प्रमाणित RCE को ट्रिगर करती है।
• Redis संस्करण 8.8.0 — बंडल RedisBloom मॉड्यूल में एक TDigest हीप ओवरफ़्लो, जो प्रमाणित RCE को भी सक्षम बनाता है।

दोनों एक्सप्लॉइट श्रृंखलाओं में RESTORE कमांड की आवश्यकता होती है, और कुछ में EVAL, XGROUP, या RedisBloom मॉड्यूल का भी उपयोग होता है । Redis ने 23 जुलाई को इन कमजोरियों को दूर करने के लिए सात सुरक्षा रिलीज़ जारी कीं । एक्सप्लॉइट को गैर-विनाशकारी बताया गया है और आधिकारिक Redis Docker इमेज के विरुद्ध साझा किया गया था ।

Redis अनुरक्षकों और विश्लेषकों ने क्यों जताया संदेह

कई महत्वपूर्ण कारकों ने व्यापक संदेह को जन्म दिया है:

बिना प्रमाण के दायरे का बढ़ना। सार्वजनिक साक्ष्य एक गंभीर Redis 8.8.0 एक्सप्लॉइट का समर्थन करते हैं, न कि दावा किए गए 19 जीरो-डे का। वह संख्या और रिपोर्ट की गई समय-सीमा किसी भी स्वतंत्र पक्ष द्वारा अपुष्ट है ।

कोई पुष्ट CVE असाइनमेंट नहीं। 27 मिनट के दावे का कोई पुष्ट CVE असाइनमेंट नहीं है। यह Redis द्वारा नामित मानव शोधकर्ताओं को श्रेय दिए गए पांच पैच किए गए CVEs (CVE-2026-23479, CVE-2026-25243, CVE-2026-25588, CVE-2026-25589, और CVE-2026-23631, 5 मई, 2026 को पैच) से एक अलग घटना है। इन दो घटनाओं को एक साथ जोड़ना कवरेज में "अब तक की सबसे बड़ी रिपोर्टिंग त्रुटि" बताई गई है ।

ज्ञात कमजोरी का पुनरुत्पादन। कुछ रिपोर्टिंग Kimi K3 को "Redis की एक ज्ञात कमजोरी का पुनरुत्पादन करने" के रूप में वर्णित करती है जिसे पहले ही Redis 8.8.0 में पैच किया जा चुका था । एक विश्लेषण में कहा गया कि एजेंट के परीक्षण ने "पृथक नई कमजोरियों की खोज करने के बजाय ज्ञात मेमोरी-सुरक्षा मुद्दों को एक साथ जोड़ा" ।

प्रयोग के दौरान इंटरनेट एक्सेस। शोधकर्ता ने पुष्टि की कि परीक्षण के दौरान मॉडल के पास इंटरनेट की पहुंच थी। आलोचकों का तर्क है कि इसका मतलब है कि मॉडल मौजूदा कमजोरी की जानकारी या एक्सप्लॉइट कोड तक पहुंच सकता था, जो पूरी तरह से स्वायत्त खोज के दावे को कमजोर करता है ।

यूके/यूएस सरकार का मूल्यांकन दावों का खंडन करता है। यूके AISI / CAISI के एक संयुक्त प्रारंभिक मूल्यांकन में पाया गया कि Kimi K3 स्वायत्त साइबर हमले के कार्यों पर "नवीनतम फ्रंटियर साइबर-सक्षम मॉडलों से काफी खराब प्रदर्शन करता है" । जब एक अनुकरणीय कॉर्पोरेट नेटवर्क पर हमला करने का कार्य दिया गया, तो Kimi K3 औसतन 32-चरणीय हमले पथ के चरण 17 तक पहुंचा, जबकि सबसे अधिक साइबर-सक्षम अमेरिकी मॉडल औसतन 28.5 चरणों तक पहुंचे । मॉडल की सुरक्षा उपायों ने "इसे साइबर शोषण का प्रयास करने से नहीं रोका" ।

स्वतंत्र रूप से सत्यापित नहीं। शॉ के दावों को Redis अनुरक्षकों या Moonshot AI द्वारा स्वतंत्र रूप से सत्यापित नहीं किया गया है, और आरोप अपुष्ट हैं ।

बड़ी तस्वीर: आक्रामक सुरक्षा में स्वायत्त AI एजेंट

शॉ के दावों के सटीक दायरे के बावजूद, इस प्रदर्शन के महत्वपूर्ण निहितार्थ हैं:

एक्सप्लॉइट-डेवलपमेंट समय में भारी कमी। AI एजेंट स्रोत कोड की समीक्षा करने और कार्यशील एक्सप्लॉइट तैयार करने के बीच की समय-सीमा को तेजी से कम कर रहे हैं, जिससे रक्षकों के पास पैच को सत्यापित करने और तैनात करने की खिड़की सिकुड़ सकती है ।

ओपन-वेट प्रसार का जोखिम। Kimi K3 एक 2.8 ट्रिलियन-पैरामीटर ओपन-वेट मॉडल है जो 27 जुलाई को पूर्ण रिलीज़ के लिए तैयार है । API-गेटेड मॉडलों के विपरीत, यह किसी को भी बिना निगरानी के मॉडल को डाउनलोड करने, फ़ाइन-ट्यून करने और कस्टम टूल्स में एकीकृत करने की अनुमति देगा, जिससे आक्रामक उपयोग की बाधा कम हो जाएगी ।

फ्रंटियर पर क्षमता अभी भी अपरिपक्व। यूके/यूएस सरकार के मूल्यांकन और स्वतंत्र बेंचमार्क बताते हैं कि वर्तमान स्वायत्त शोषण क्षमता अभी भी प्रारंभिक अवस्था में है । Kimi K3 कोड तर्क और कमजोरी पुनर्खोज पर अच्छा प्रदर्शन करता है — इसने एक विशेष बेंचमार्क पर 26 में से 23 ज्ञात CVEs को फिर से खोजा — लेकिन यथार्थवादी नेटवर्क पर पूर्ण-श्रृंखला स्वायत्त हमलों में शीर्ष मॉडलों से पीछे है । एक स्वतंत्र परीक्षण में, Kimi K3 ने आक्रामक साइबर सुरक्षा परीक्षण में 32.2% स्कोर किया, जो अग्रणी अमेरिकी मॉडलों द्वारा प्राप्त औसत 76.2% से आधे से भी कम है, और 41 परीक्षण किए गए कमजोरियों में से किसी पर भी मनमाना कोड निष्पादन प्राप्त करने में विफल रहा ।

नई रक्षात्मक तात्कालिकता। इस प्रदर्शन ने स्वचालित पैच प्राथमिकता, रीयल-टाइम बाइनरी विश्लेषण उपकरण, और उच्च-क्षमता वाले ओपन-वेट मॉडलों की रिलीज़ के आसपास सख्त नियंत्रण के लिए कॉल को तेज कर दिया है । साइबर सुरक्षा उद्योग अब एक ऐसे भविष्य का सामना कर रहा है जहां कमजोरी-से-एक्सप्लॉइट की खिड़की महीनों से घटकर मिनटों में सिमट जाती है , और जहां AI एजेंट एक साथ कई लक्ष्यों पर मशीन की गति से काम कर सकते हैं ।