Künstliche Intelligenz beginnt, den Day Caller zu finden

Autuz bin Kandidat Angriffsvektor, etwa 700 schlechte Ziele. PortSwigger gab am 7. August 2026 bekannt, dass HTTP Terminator Zahlen mit einer Linie der künstlichen Intelligenz-unterstützten Produktion erreichte, nicht mit der menschlichen Arbeit, die Wochen dauert. Ende Juli kam ein ähnlicher Anspruch auf der Redis-Seite. Der technische Hintergrund von zwei Fällen in dem Artikel, die verifizierten und unbestätigten Teile, befassen sich mit der Bedeutung von Verteidigungsteams.

Was ist künstliche Intelligenz Zero Day Connection, wie zu finden?

Die Idee, automatische Verwundbarkeit zu suchen, ist nicht neu. Fuzzing treibt seit Jahren Software mit zufälligen oder mutationsbedingten Eingaben voran und extrahiert Eingaben, die einen Absturz verursachen. Was ist neu, wo es aus dem produzierten Input kommt.

Sprachmodelle können Protokolldokumente lesen und sinnvolle Kandidatentestsituationen ableiten. Anstatt zufällige Bytes zu erzeugen, werden die Interpretationsunterschiede zu ihren Sätzen des Standards entfernt. Dann werden diese Kandidaten automatisch ausprobiert, die Überlebenden werden dem menschlichen Forscher überlassen.

Sehr große Unterschiede. Anstelle von Dutzenden von Szenarien, die ein Forscher eine Woche lang erstellen kann, kann er in Tausenden von Szenarien gleichzeitig erstellt und diskutiert werden. Künstliche Intelligenz Sicherheit Ein theoretischer verbleibender Titel für eine lange Zeit der Diskussion war in der Praxis mit zwei getrennten Fällen im Juli und August.

Wie produziert HTTP Terminator 30.000 Vektoren?

PortSwigger Forschungsdirektor James Kettles System, Laut den in The Hacker News veröffentlichten Nachrichten 138 PCs wurden mit HTTP und SMTP Standarddokument erwartet. Die Dokumente wurden in etwa 15.000 kleine Teile unterteilt und aus diesen Teilen wurden 30.000 einzigartige Kandidatenmustervektoren hergestellt.

Die Tests wurden an 30.000 Standorten durchgeführt, die über den Fehlerpreis oder ein schlechtes Benachrichtigungsprogramm scannen durften. Etwa 700 schlechte Ziele wurden vor der Verifizierung gefunden. Die Ergebnisse laut der Übertragung von Kettle umfassen Banken, öffentliche Infrastruktur, Sicherheitsprodukte und einen Flughafen.

eine Technik, Content-Type: multipart/byteranges Basierend auf dem Header arbeitete der Ansatz an mehreren Serveranwendungen und enthüllte mehr als 200 Standorte im Testset. Eine davon ist eine US-Bank, die nicht offengelegt wird.

16 Ideen wurden versucht, die Antwortschwanzvergiftung zuverlässiger zu machen. Nur die Technik namens "Dangling-Byte" aus der Bewertung. Die Methode lässt die verpasste Anfrage ohne Bytes und beendet die Produktion der zweiten Antwort, bis die fehlenden Bytes die Anfrage des Opfers abschließen.

Autonome Grenze Technischer Artikel von PortSwigger deutlich gezeichnet. Shared-Parser empfahl das System für den breiteren Angriff namens Confusion, verifizierte und aggregierte den Kettle.

"Wir können es nicht alleine finden." - James Kettle, PortSwigger

Sie müssen den Satz nicht als Marketingausdruck lesen. Kettles Bewegungsapparat ist keine selbstverlöschende Maschine; es bietet Skalierung in der Produktions- und Screening-Phase, in der Konzeptionsphase ist der menschliche Eingriff entscheidend. Der Zero Day auf Apache Traffic Server erschien in einer menschenorientierten Kette.

HTTP Terminator wird als Open Source veröffentlicht. Claude für die Dokumentenextraktion und Testproduktion in der veröffentlichten Anwendung wird Claude Code für die Forschungsphase verwendet. Anthropics agentenorientierte Modelle Home Claude Sonnet 5 Im gleichen Zeitraum wurden Sicherheitsbewertungen durchgeführt.

Wer hat K3?

Auf der zweiten Falldatenbankseite. Redis, 23 Mit Sicherheitsversionen veröffentlicht im Juli 2026 sieben separate Spreads. Zuvor hatten die Forscher gemeinsam Beweiscodes, die ID-Verifizierung Remote-Code-Targeting 6.2.22, 7.4.9, 8.6.4 und 8.8.0 Versionen laufen.

Alle Ketten benötigen Zugriff auf den Befehl RESTORE. Zusätzlich zu einem Teil benötigt es ein RedisBloom-Modul, einschließlich EVAL- und XGROUP-Befehlen oder -Paketen. Azaltım Seite ist einfach: Wenn die RESTORE-Behörde absolut nicht erforderlich ist, sind zwei Wege geschlossen.

Was ist der wichtigste Teil. Laut den in The Hacker News veröffentlichten Nachrichten Der Forscher Chaofan Shou teilte Kimi K3 Agenten wurden auf 19 Redis Null in etwa 90 Minuten gefunden. In einem separaten Lauf wurde Redis in 27 Minuten auf den 8,8.0 Exploit übertragen. Das Team, das Evidenzcodes veröffentlicht, definiert sich selbst als künstliche Intelligenz-Agentenforschung.

Das Modell von Moonshot AI, Kimi K3 mit der Veröffentlichung von Open Source-Gewichten Ich war schon an meinem Tag. Mit ein paar Tagen der gleichen Modellfamilie gab es eine separate Diskussion über die Rolle offener Modelle in der Sicherheitsforschung.

Welche Iddias verifiziert, welche nicht spezifiziert?

Zwei Fälle in türkischen Quellen wurden meist mit dem Titel "Pay Intelligence gefunden 19 null Tage" übertragen. Registrierungen zeigen eine detailliertere Tabelle.

Redis 'öffentliche aufzeichnung bestätigt die anwesenheit und korrekturen des offenen. Derselbe Datensatz kann die Anzahl der verfügbaren offenen Daten oder die Unabhängigkeit der Agenten nicht überprüfen. Zahlen und Zeiten der eigenen Aussage des Forschers.

Es gibt eine Verifizierungslücke auf der Apache-Seite. Der Null-Tag auf Traffic Server heißt CVE-2026-63078, aber was ist der Rekord in 7 August Kontrolle von The Hacker News CVE.orgWas könnte in NVD gefunden werden. Die Sicherheitsankündigung von Apache listet auch 34 Sicherheitslücken auf.

Zuhause

Austausch von Forschern

Neue mustermatische Techniken Home

Geprüft

PortSwigger Technische Post

Apache CVE-2026-63078

Nicht definiert

CVE.org und keine Registrierung auf NVD

Missbrauch in wilder Natur

Keine Registrierung

CISA KEV Katalog

Ich habe ein praktisches Äquivalent meiner Trennung. Ein Verteidigungsteam plant nach der Eifersucht, die verifiziert wurde, überprüfen Sie das Bedrohungsmodell nach der angegebenen Geschwindigkeit. Wenn zwei Informationen im gleichen Gewicht verarbeitet werden oder unnötige rehavet entsteht.

Welche Risiken zeigen sich für Angreifer?

Die gleiche Fähigkeit ist nicht spezifisch für die Verteidigungsseite. Im Juli 2026 wurde der Agent für künstliche Intelligenz namens Hermes berichtet, dass das thailändische Finanzministerium in einer unbeaufsichtigten Phase geführt wurde, nachdem es geleakt wurde. Das Vorhandensein von Schritten, die ohne menschliche Anleitung durchgeführt werden, unterscheidet den Vorfall von einem gewöhnlichen Verstoß gegen öffentliche Einrichtungen.

Drei Änderungen treten in Bezug auf das Bedrohungsmodell auf:

Drehzahl: Die Ausnahmeproduktion sinkt von Wochen auf Stunden, das Patchfenster ist bevölkert. Skala: Ein einzelner Bediener kann eine große Anzahl von Zielen mit parallel betriebenen Agenten gleichzeitig scannen. Kontinuität: Der Agent kann weiterarbeiten, sobald die Bedienertastatur nicht am Anfang steht.

Missbrauchspotenzial autonomer Systeme schädliche künstliche Intelligenz Modelle Home Jahrelang. Der Unterschied ist, dass es keine Annahme von Beispielen mehr gibt.

Classic und Agent Supported Research Vergleich

Es war die Produktion einer Flaschenhals-Idee in der klassischen Arbeitsforschung. Er stellte eine Hypothese mit seinem Forscher seizgi auf, sie wurden manuell korrigiert. Der Agent rutscht in die Verengungs- und Verifikationsseite im unterstützten Fluss.

Die letzte Zeile ist die schmerzhafteste in der App. Die Institutionen, die den Patch-Kalender mit der CVE-Nummer verbinden, können die Sicherheitsanfälligkeit niemals mit der Tracking-Liste verbinden, wenn sich die Registrierung verzögert. Das Redis-Beispiel zeigt ein zweites Format: empfohlen im Mai 6.2.22 und 7.4.9 Versionen, die benötigt werden, um im Juli neu zu aktualisieren. Die Information "gleichzeitig gepatcht" reicht alleine nicht aus, die Branch-Version selbst sollte überprüft werden.

Welche Schritte unternehmen die Institutionen heute?

Somut-Schritte können aus ihren Reduktionsempfehlungen von zwei Fällen entfernt werden.

Überprüfen Sie die Dal-Version: Verlassen Sie sich nicht nur auf das "Update" -Tag bei redis-Installationen, die Vollversionsnummer des Mitarbeiterzweigs sollte überprüft werden. Reduzierte Zulassung: Leistungsstarke Befehle wie RESTORE sollten aus undefiniten Konten entfernt werden, ungesicherter Netzwerkzugriff auf die Datenbank. HTTP/1.1 Abhängigkeit reduzieren: PortSwiggers Vorschlag, HTTP/1.1 im Backend-Datenverkehr zu vermeiden. Wenn es nicht entfernt wird, sowohl im vorderen Ende, sollte die Methode Berechtigungsliste angewendet werden und die Methoden, die den Körper tragen können, sollten begrenzt sein. Bewegen Sie sich ohne auf die Registrierung zu warten: CISAs bekannter Katalog missbrauchter Sicherheitslücken weiterhin überwacht werden, aber die Patch-Entscheidung sollte nicht nur mit dem Katalogdatensatz verbunden werden. Produktionsfluss des Codes überprüfen: Autonome Kodierungsmodelle Home Da Teams in ihren Pipelines arbeiten, sollten die Berechtigungen für Agenten nach dem Prinzip der Mindestprivilegien neu festgelegt werden.

Häufig gestellte Fragen

Kann künstliche Intelligenz die Zero-Day-Verwundbarkeit wirklich selbst finden? Zuhause Die Produktion und Eliminierung von Kandidaten-Testvektoren läuft automatisch, aber in beiden Fällen blieb der Humanforscher in der Konzeptualisierungs- und Verifikationsphase im Kreislauf. In der Beschreibung von PortSwigger wird der Befund in Apache aus einer menschlichen direkten Kette angegeben.

Was ist HTTP Terminator und wie kann man darauf zugreifen? HTTP Terminator ist ein von künstlicher Intelligenz unterstütztes Forschungssystem, das von James Kettle in PortSwigger entwickelt wurde. Veröffentlicht als Open Source. Für die Dokumentenextraktion und Testproduktion verwendet Claude Claude Code für die Forschungsphase.

Sind meine Redis-Installationen gefährdet? Das Risiko hängt vom Versionszweig und der Autorisierung ab. Die Beweiscodes für 6.2.22, 7.4.9, 8.6.4 und 8.8.0 und alle erfordern Zugriff auf den Befehl RESTORE. Die am 23. Juli veröffentlichte korrigierte Veröffentlichung wird empfohlen, die RESTORE-Behörde einzugrenzen, bis der Übergang abgeschlossen ist.

Gibt es Aufzeichnungen, dass diese Öffnungen in der wilden Natur missbraucht werden? Keine öffentlichen Aufzeichnungen. In der Rezension von The Hacker News gab es eine Missbrauchsaufzeichnung über die Veröffentlichungsnotizen von Redis im Juli oder den bekannten missbrauchten Zafiyetler-Katalog von CISA. Es sollte beachtet werden, dass sich die Situation in den folgenden Wochen ändern kann.

Was ist die praktische Bedeutung für Teams in der Türkei? Der Patch-Kalender muss gemäß der Verkäuferankündigung installiert werden, nicht gemäß der CVE-Registrierung. Redis ist ein kurzfristiger konkreter Schritt, um die Zweigversionen der Teams mit Apache Traffic Server und ähnlichen Infrastrukturkomponenten manuell zu überprüfen, starke Skriptautorisierung.

Der gemeinsame Punkt der beiden Fälle ist die Geschwindigkeit der Offenheit. Das System des Kettle passt in einen einzigen Forschungszyklus, der wochenlang dauern wird, der Anspruch auf der Redis-Seite misst die Zeit mit Minuten. Öffentliche Aufzeichnungen werden in den nächsten Monaten zu sehen sein, dass sie nicht wachsen und zu dieser Geschwindigkeit wachsen werden.