Китайская ИИ-модель Kimi K3 нашла способ атаковать Telegram без кликов пользователя — исследователь

• Исследователь безопасности сообщил об обнаруженной критической уязвимости в Telegram и эксплойте серверов Redis.
• Исполнителем стала китайская Kimi K3.
• Тем временем Белый дом обвинил Moonshot AI в возможном использовании дистилляции Anthropic Fable.
• Однако лаборатория Arcee выступила против запрета открытых моделей из Китая.

Исследователь безопасности Чаофань Шоу заявил, что китайская ИИ-модель Kimi K3 от Moonshot AI самостоятельно выполнила произвольную команду без единого клика (zero-click) в Telegram Desktop и iOS-версии мессенджера. По его словам, эксплойт находится «в одном шаге от полного удаленного выполнения кода».

На момент публикации команда Telegram публично не подтвердила существование описанной уязвимости и не комментировала заявление исследователя.

Ранее Kimi K3 уже стала одной из самых обсуждаемых моделей после того, как возглавила рейтинг Frontend Code Arena, опередив Claude Fable 5, а ее запуск вызвал распродажу акций американских производителей чипов. После этого Вашингтон также заявил о готовности проверить китайские модели на предмет возможного нарушения прав интеллектуальной собственности:

Шоу также утверждает, что модель нашла новые способы компрометации серверов Redis, продемонстрировав возможности автономного поиска сложных уязвимостей.

По словам Шоу, для поиска новых эксплойтов он использовал мультиагентную конфигурацию Kimi K3.

По его данным, Kimi K3 нашла:

• новые способы удаленного выполнения кода для Redis 6.2.22, 7.4.9 и 8.6.4;
• отдельную уязвимость типа «переполнение кучи» в модуле RedisBloom для Redis 8.8.0;
• рабочие Proof-of-Concept эксплойты для тестовых сред.

Шоу подчеркнул, что опубликованные