Kimi K3 vs Redis: O que realmente aconteceu com a suposta descoberta de zero-days por IA em 27 minutos?

A notícia se espalhou rapidamente, mas a história completa é mais cheia de nuances. As evidências públicas sustentam um achado importante, porém mais restrito, e vários fatores levaram os mantenedores do Redis e analistas independentes a questionar o alcance real das alegações.

Os Exploits Documentados

O código PoC publicado por Bera Buddies cobre duas rotas de ataque distintas :

• Redis versões 6.2.22, 7.4.9 e 8.6.4: uma vulnerabilidade de duplo-free em shared-NACK de grupo de consumidores de stream, relacionada à correção incompleta do CVE-2026-25589, que permite RCE autenticado.
• Redis versão 8.8.0: um heap overflow no TDigest do módulo RedisBloom (incluído no bundle), que também viabiliza RCE autenticado.

Ambas as cadeias de ataque exigem o comando RESTORE, e algumas também usam EVAL, XGROUP ou o módulo RedisBloom . A Redis lançou sete atualizações de segurança em 23 de julho para corrigir essas falhas . Os exploits são descritos como não destrutivos e foram compartilhados usando imagens oficiais do Redis no Docker .

Por que Mantenedores e Analistas do Redis Têm Dúvidas

Vários fatores significativos geraram ceticismo generalizado:

Inflação do escopo sem comprovação. As evidências públicas sustentam um exploit grave no Redis 8.8.0, mas não os 19 zero-days alegados. Essa contagem e o cronograma permanecem sem confirmação independente .

Nenhum CVE confirmado para a alegação principal. A alegação dos 27 minutos não tem nenhum CVE atribuído. Trata-se de um evento separado das cinco CVEs corrigidas pela Redis e creditadas a pesquisadores humanos nomeados (CVE-2026-23479, CVE-2026-25243, CVE-2026-25588, CVE-2026-25589 e CVE-2026-23631, corrigidas em 5 de maio de 2026). Confundir esses dois eventos foi descrito como "o maior erro de reportagem" na cobertura do caso .

Replicação de vulnerabilidade já conhecida. Algumas reportagens descrevem que o Kimi K3 "replicou uma vulnerabilidade conhecida do Redis" que já havia sido corrigida no Redis 8.8.0 . Uma análise observou que o agente "encadeou problemas de segurança de memória conhecidos, em vez de descobrir falhas novas e isoladas" .

Acesso à internet durante o experimento. O pesquisador confirmou que o modelo tinha acesso à internet durante o teste. Críticos argumentam que isso significa que o modelo poderia ter acessado informações existentes sobre a vulnerabilidade ou códigos de exploit, minando a alegação de descoberta totalmente autônoma .

Avaliação governamental do Reino Unido/EUA contradiz alegações de capacidade de fronteira. Uma avaliação preliminar conjunta do UK AISI / CAISI constatou que o Kimi K3 "tem desempenho significativamente inferior aos modelos de fronteira mais recentes com capacidade cibernética" em tarefas autônomas de ciberataque . Quando desafiado a atacar uma rede corporativa simulada, o Kimi K3 alcançou, em média, o passo 17 de um caminho de ataque de 32 passos, enquanto os modelos dos EUA com maior capacidade cibernética alcançaram 28,5 passos . Os mecanismos de segurança do modelo "não o impediram de tentar exploração cibernética" .

Sem verificação independente. As alegações de Shou não foram verificadas de forma independente pelos mantenedores do Redis ou pela Moonshot AI, e permanecem não confirmadas .

O Panorama Geral: Agentes de IA Autônomos na Segurança Ofensiva

Independentemente do alcance exato das alegações de Shou, a demonstração tem implicações significativas:

Redução drástica no tempo de desenvolvimento de exploits. Agentes de IA estão comprimindo drasticamente o tempo entre a revisão do código-fonte e a produção de um exploit funcional, o que pode encurtar a janela que os defensores têm para verificar e implementar correções .

Risco de proliferação com pesos abertos. O Kimi K3 é um modelo de pesos abertos com 2,8 trilhões de parâmetros, com lançamento completo previsto para 27 de julho . Diferente de modelos acessados apenas por API, isso permitirá que qualquer pessoa baixe, ajuste e integre o modelo em ferramentas personalizadas sem supervisão, reduzindo a barreira para uso ofensivo .

Capacidade ainda imatura na fronteira. A avaliação governamental do Reino Unido/EUA e benchmarks independentes sugerem que a capacidade atual de exploração autônoma ainda é inicial . O Kimi K3 tem bom desempenho em raciocínio de código e redescoberta de vulnerabilidades — ele redescobriu 23 de 26 CVEs conhecidas em um benchmark especializado — mas fica atrás dos principais modelos em ataques autônomos de cadeia completa em redes realistas . Em um teste independente, o Kimi K3 obteve 32,2% em um teste de segurança ofensiva, menos da metade da média de 76,2% alcançada pelos principais modelos dos EUA, e não conseguiu executar código arbitrário em nenhuma das 41 vulnerabilidades testadas .

Nova urgência defensiva. A demonstração acelerou os pedidos por priorização automatizada de patches, ferramentas de análise binária em tempo real e controles mais rigorosos em torno do lançamento de modelos de pesos abertos de alta capacidade . A indústria de segurança cibernética agora enfrenta um futuro onde a janela entre a descoberta de uma vulnerabilidade e a criação de um exploit pode encolher de meses para minutos , e onde agentes de IA podem operar em velocidade de máquina em múltiplos alvos simultaneamente .