Kimi K3 โชว์พลัง วิเคราห์และเจอช่องโหว่ร้ายแรงใน Redis ใน 27 นาทีเท่านั้น
Kimi K3 โมเดล AI รุ่นใหม่จาก Moonshot AI กำลังได้รับความสนใจในแวดวงความปลอดภัยไซเบอร์ หลังมีรายงานว่าสามารถทำหน้าที่เป็น AI Agent ค้นพบช่องโหว่ร้ายแรงใน Redis ซึ่งเป็นซอฟต์แวร์ฐานข้อมูลแบบ In-Memory ได้ภายในเวลาเพียง 27 นาที พร้อมสร้างตัวอย่างการโจมตี (Proof of Concept หรือ PoC) ได้โดยอัตโนมัติ
วิเคราะห์ซอร์สโค้ด ทดสอบ และดีบักเองจนพบช่องโหว่
รายงานระบุว่า Kimi K3 ซึ่งเป็นโมเดลขนาด 2.8 ล้านล้านพารามิเตอร์ (2.8 Trillion Parameters) ได้รับคำสั่งเพียงให้ค้นหาปัญหาความเสียหายของหน่วยความจำ (Memory Corruption) เช่น Buffer Overflow, Use-after-Free และช่องโหว่ที่เกี่ยวข้อง
จากนั้น AI Agent สามารถดำเนินกระบวนการทั้งหมดได้เอง ตั้งแต่
- ดาวน์โหลดซอร์สโค้ดของ Redis
- ทำ Fuzzing เพื่อป้อนข้อมูลจำนวนมากสำหรับค้นหาความผิดปกติ
- วิเคราะห์โปรแกรมที่เกิดการล่มด้วย GNU Debugger (GDB)
- สร้างตัวอย่างการโจมตีแบบ PoC
ทั้งหมดเกิดขึ้นภายในสภาพแวดล้อมที่ได้รับอนุญาตสำหรับการทดสอบ และใช้เวลาเพียง 27 นาที ก่อนนำผลการทดสอบเผยแพร่บน GitHub เพื่อให้ชุมชนนักวิจัยตรวจสอบต่อ
ช่องโหว่ Remote Code Execution
Kimi K3 ตรวจพบช่องโหว่ที่อาจนำไปสู่ Remote Code Execution (RCE) หรือการรันคำสั่งบนเครื่องเป้าหมายจากระยะไกล ใน Redis หลายเวอร์ชัน ได้แก่
- Redis 6.2.22
- Redis 7.4.9
- Redis 8.6.4
- Redis 8.8.0
หนึ่งในช่องโหว่สำคัญคือ CVE-2026-25589 ซึ่งเป็นปัญหา Double-Free ภายในระบบ Redis Stream Consumer Groups
Double-Free คือข้อผิดพลาดที่โปรแกรมพยายามคืนหน่วยความจำเดิมซ้ำมากกว่าหนึ่งครั้ง ส่งผลให้โครงสร้างหน่วยความจำเสียหาย และในบางกรณีผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อรันโค้ดบนระบบเป้าหมายได้
นอกจากนี้ AI ยังพบช่องโหว่ Heap Overflow ในโมดูล RedisBloom ซึ่งเป็นส่วนเสริมสำหรับโครงสร้างข้อมูลแบบความน่าจะเป็น (Probabilistic Data Structure) ที่นิยมใช้ในระบบประสิทธิภาพสูง หากผู้โจมตีใช้ช่องโหว่นี้ได้สำเร็จ ก็อาจเขียนทับข้อมูลในหน่วยความจำและนำไปสู่การรันโค้ดจากระยะไกลได้เช่นกัน
AI ค้นหาช่องโหว่ แต่เพิ่มความเสี่ยง
นักวิจัยมองว่าความสามารถของ Kimi K3 ถือเป็นจุดเปลี่ยนสำคัญของวงการ Cybersecurity เพราะงานที่เดิมต้องอาศัยนักวิจัยผู้เชี่ยวชาญใช้เวลาหลายวันหรือหลายสัปดาห์ในการตรวจสอบซอร์สโค้ดและทำ Fuzzing อาจถูกย่นระยะเวลาเหลือไม่ถึงครึ่งชั่วโมง
แม้เทคโนโลยีลักษณะนี้จะช่วยให้องค์กรค้นพบและแก้ไขช่องโหว่ได้รวดเร็วยิ่งขึ้น แต่ก็สร้างความกังวลว่าผู้โจมตีอาจนำ AI ลักษณะเดียวกันมาใช้เร่งการค้นหาช่องโหว่และพัฒนาเครื่องมือโจมตีได้เร็วกว่าเดิม
ด้วยเหตุนี้ นักวิจัยจึงย้ำถึงความสำคัญของ Responsible Disclosure หรือการแจ้งผู้พัฒนาซอฟต์แวร์ให้ทราบก่อนเผยแพร่รายละเอียดช่องโหว่ เพื่อให้มีเวลาออกแพตช์ป้องกันก่อนที่ข้อมูลจะถูกนำไปใช้ในทางที่ผิด