Der Sicherheitsforscher Chaofan Shou hat auf X berichtet, dass er mit Kimi K3, dem KI-Modell des chinesischen Start-ups Moonshot AI, in nur 90 Minuten 19 Zero-Day-Schwachstellen in Redis 8.8.0 – der bis dahin aktuellen Version der quelloffenen In-Memory-Datenbank – entdeckt hat. Kimi K3 erstellte dabei auch Proof-of-Concept-Exploit-Code, den Shou in einem GitHub-Repository (berabuddies/redis-poc) veröffentlichte.

Das Redis-Projekt reagierte in der Nacht zum Freitag mit gepatchten Versionen: 8.8.1, 8.6.5, 8.4.5, 8.2.8, 7.4.10, 7.2.15 und 6.2.23 schließen zumindest einen Teil der gemeldeten Lücken. Die Maintainer bestätigen damit die Schwachstellen, etwa den Exploit namens "P88W", der über einen Pull Request im RedisBloom-Modul adressiert wurde.

Einstufungen des Schweregrads und CVE-Einträge stehen noch aus. Da funktionierender PoC-Code öffentlich ist, fällt es Angreifern jedoch leichter, die Lücken auszunutzen. Administratoren sollten daher zügig auf die gepatchte Version ihres eingesetzten Zweigs aktualisieren; der Quellcode liegt bereit, und Linux-Distributionen dürften kurzfristig Updates bereitstellen.

Der Fall belegt, dass Kimi K3 – als Konkurrent der Spitzenmodelle von OpenAI und Anthropic positioniert – tatsächlich Schwachstellen aufspüren und Exploit-Code erzeugen kann. Bislang war dies die Domäne von Werkzeugen wie Anthropics Mythos oder Fable und OpenAIs Codex Security. Moonshot AI hat neue Abonnements Berichten zufolge wegen GPU-Engpässen bei stark steigender Nachfrage vorerst gestoppt; dieses Ergebnis dürfte das Interesse weiter befeuern.