Inteligencia Artificial comienza a encontrar el Llamador del Día

Autuz bin candidato ataque vector, cerca de 700 objetivos pobres. PortSwigger anunció el 7 de agosto de 2026, HTTP Terminator alcanzó cifras con una línea de producción de inteligencia artificial, no con el trabajo humano que dura semanas. A finales de julio, llegó una reclamación similar en la parte Redis. El fondo técnico de dos casos en el artículo, las partes verificadas y no confirmadas, abordan el significado de los equipos de defensa.

¿Qué es la conexión del Día Cero de Inteligencia Artificial, cómo encontrar?

La idea de buscar vulnerabilidad automática no es nueva. Fuzzing ha estado empujando software con entradas aleatorias o mutacionales durante años, extrayendo insumos que producen choque. Lo nuevo, donde viene de la entrada producida.

Los modelos de lenguaje pueden leer documentos de protocolo y derivar situaciones significativas de prueba de candidatos. En lugar de producir bytes aleatorios, se eliminan las diferencias de interpretación de sus oraciones de la norma. Entonces estos candidatos son juzgados automáticamente, los sobrevivientes son dejados al investigador humano.

Muy volumen de diferencia. En lugar de docenas de escenarios que un investigador puede construir durante una semana, se puede producir y discutir en miles de escenarios al mismo tiempo. Seguridad de la inteligencia artificial Un título teórico restante durante mucho tiempo de discusión ha sido en la práctica con dos casos separados en julio y agosto.

¿Cómo produce HTTP Terminator 30.000 vectores?

El sistema del director de investigación de PortSwigger James Kettle, Según las noticias publicadas en The Hacker News Se esperaban 138 pcs con el documento estándar HTTP y SMTP. Los documentos se dividieron en alrededor de 15.000 piezas pequeñas y 30.000 vectores de patrones de candidatos únicos fueron producidos de estas partes.

Las pruebas se realizaron en 30.000 sitios, que se permitieron escanear mediante el premio de error o el programa de notificación deficiente. Antes de la verificación se encontraron unos 700 objetivos pobres. Los hallazgos según la transferencia de Kettle incluyen bancos, infraestructura pública, productos de seguridad y un aeropuerto.

Una técnica, Content-Type: multipart/byteranges Basado en el encabezado, el enfoque funcionó en múltiples aplicaciones de servidor y reveló más de 200 sitios en el conjunto de pruebas. Uno de ellos es un banco estadounidense que no se revela.

Se trata de 16 ideas para que el envenenamiento de la cola de respuesta sea más fiable. Sólo la técnica llamada "dangling-byte" de la evaluación. El método deja la solicitud perdida de un bytes y termina la producción de la segunda respuesta hasta que los bytes desaparecidos completen la solicitud de la víctima.

Autonomi border Artículo técnico de PortSwigger claramente dibujado. Shared-Parser recomendó el sistema para el ataque más amplio llamado Confusión, verificado y agregado el Kettle.

"No podemos encontrarlo solo". - James Kettle, PortSwigger

No es necesario leer la Sentencia como expresión de marketing. El sistema musculoesquelético de Kettle no es una máquina autoextinguida; proporciona escala en fase de producción y proyección, en etapa de conceptualización, la intervención humana es decisiva. El día cero en Apache Traffic Server apareció en una cadena orientada al ser humano.

HTTP Terminator es liberado como fuente abierta. Claude para la extracción de documentos y la producción de pruebas en aplicación publicada se utiliza Código Claude para fase de investigación. Modelos orientados a agentes de Anthropic Claude Sonnet 5 En el mismo período se realizaron evaluaciones de seguridad.

¿Quién hizo K3?

En la segunda base de datos de casos. Redis, 23 Con versiones de seguridad publicadas en julio 2026 7 separaciones separadas. Anteriormente, los investigadores habían compartido códigos de evidencia que ejecutan código remoto de verificación de identificación con versiones 6.2.22, 7.4.9, 8.6.4 y 8.8.0.

Todas las cadenas requieren acceso al comando RESTORE. Además de una parte, necesita el módulo RedisBloom, incluyendo comandos EVAL y XGROUP o paquete. Azaltım lado es simple: Si la autoridad RESTORE no es absolutamente necesaria, dos maneras están cerradas.

¿Cuál es la parte más importante? Según las noticias publicadas en The Hacker News El investigador Chaofan Shou compartió agentes Kimi K3 fueron encontrados en 19 Redis cero en unos 90 minutos. En una carrera separada, Redis fue transferido a la explotación 8.8.0 en 27 minutos. El equipo que publica códigos de evidencia se define como un agente de inteligencia artificial.

El modelo de Moonshot AI, Kimi K3 con la liberación de pesos de código abierto Ya estaba en mi día. Con unos días de la misma familia modelo, hubo una discusión separada sobre el papel de los modelos abiertos en la investigación de seguridad.

¿Qué Iddias verificadas, que no son especificadas?

Dos casos en fuentes turcas fueron transferidos principalmente con el título "la inteligencia de pago encontró 19 días cero". Las inscripciones muestran una tabla más detallada.

El registro público de Redis confirma la presencia y las correcciones de la apertura. El mismo registro no puede verificar el número de abiertos disponibles o cómo independientes funcionan los agentes. Números y tiempos de la propia declaración del investigador.

Hay una brecha de verificación en el lado Apache. El día cero en el servidor de tráfico se llama CVE-2026-63078, pero cuál es el registro en el 7 de agosto control de The Hacker News CVE.orgLo que se puede encontrar en NVD. El anuncio de seguridad de Apache también enumera 34 vulnerabilidades.

Home

Intercambio de investigadores

Nuevas técnicas patrónmáticas Inicio

Verificado

Puesto técnico de PortSwigger

Apache CVE-2026-63078

Undefinido

CVE.org y sin registro en NVD

Maltrato de naturaleza salvaje

No hay registro

catálogo CISA KEV

Tengo un equivalente práctico de mi separación. Un equipo de defensa planea según los celos que se han verificado, revisar el modelo de amenaza según la velocidad declarada. Si se procesan dos informaciones en el mismo peso o surge la rehavet innecesaria.

¿Qué riesgos se revelan para los atacantes?

La misma habilidad no es específica para la defensa. In July 2026, the artificial intelligence agent named Hermes was reported that the Thai Finance Ministry was run in unsupervised stage after leaking. La presencia de medidas llevadas a cabo sin orientación humana en funcionamiento distingue el incidente de una infracción de una institución pública ordinaria.

Tres cambios aparecen en términos del modelo de amenaza:

Velocidad: La producción de excepciones está descendiendo de semanas a horas, la ventana de parche está poblada. Escala: Un solo operador puede escanear un gran número de objetivos con agentes de potencia paralela simultáneamente. Continuidad: El agente puede continuar procesando tan pronto como el teclado del operador no esté al principio.

Potencial de abuso de sistemas autónomos nocivos modelos de inteligencia artificial por años. La diferencia es que ya no hay hipótesis de ejemplos.

Comparación de investigación de Clásico y Agente

Fue la producción de una idea de cuello de botella en la investigación laboral clásica. Él estableció una hipótesis con su seizgi investigador, que fueron corregidos manualmente. El agente se desliza hacia el lado de estrechamiento y verificación en el flujo soportado.

La última línea es la más dolorosa en la aplicación. Las instituciones que conectan el calendario de parches con el número CVE nunca pueden tomar la vulnerabilidad a la lista de seguimiento si el retraso del registro. El ejemplo Redis muestra un segundo formato: recomendado en mayo 6.2.22 y 7.4.9 versiones necesarias para volver a actualizar en julio. La información "reparada al mismo tiempo" no es suficiente sola, la versión de rama en sí debe ser revisada.

¿Qué pasos toman hoy las instituciones?

Los pasos de Somut se pueden eliminar de sus recomendaciones de reducción de dos casos.

Verificar la versión Dal: No sólo depende de la etiqueta "actual" en las instalaciones redis, el número completo de la versión de la rama del empleado debe ser revisado. Reducir la autorización: Los comandos poderosos como RESTORE deben ser eliminados de cuentas indefinidas, acceso de red sin garantía a la base de datos. Reducir HTTP/1.1 dependencia: La propuesta de PortSwigger para evitar utilizar HTTP/1.1 en el tráfico de back-end. Si no se elimina, tanto en el extremo frontal, se debe aplicar la lista de permisos de método y los métodos que pueden llevar el cuerpo deben ser limitados. Muévete sin esperar el registro: El conocido catálogo de vulnerabilidades abusadas de CISA para seguir siendo monitoreado, pero la decisión de parche no sólo debe conectarse al registro del catálogo. Flujo de producción de código de revisión: Modelos de codificación autónomos Dado que los equipos trabajan en sus oleoductos, las autorizaciones otorgadas a los agentes deben reajustarse según el principio de privilegio mínimo.

Preguntas frecuentes

¿Puede la inteligencia artificial realmente encontrar la vulnerabilidad del día cero por sí misma? Home La producción y eliminación de vectores de pruebas candidatas es automáticamente caminar, pero en ambos casos la fase de conceptualización y verificación, el investigador humano permaneció en el circuito. En la descripción de PortSwigger, el hallazgo en Apache se especifica en una cadena humana-directa.

¿Qué es HTTP Terminator y cómo acceder? HTTP Terminator es un sistema de investigación basado en inteligencia artificial desarrollado por James Kettle en PortSwigger. Publicado como fuente abierta. Para la extracción y producción de documentos, Claude utiliza Claude Código para la etapa de investigación.

¿Mis instalaciones rojas están en riesgo? El riesgo depende de la rama de la versión y la autorización. Los códigos de evidencia dirigidos a 6.2.22, 7.4.9, 8.6.4 y 8.8.0 y todos requieren acceso al comando RESTORE. La liberación corregida publicada el 23 de julio se recomienda reducir la autoridad RESTORE hasta que se complete la transición.

¿Hay un registro de que estas aperturas son abusadas en naturaleza salvaje? No hay registros públicos. En la revisión de The Hacker News, hubo un registro de abusos en lo que las notas de lanzamiento de Redis en julio, ni el conocido catálogo de zafiyetler abusado de CISA. Debe tenerse en cuenta que la situación puede cambiar en las semanas siguientes.

¿Qué significa práctico para los equipos en Turquía? El calendario de parches debe ser instalado según el anuncio del vendedor, no a la inscripción CVE. Redis es un paso concreto a corto plazo para revisar las versiones de las sucursales de los equipos que ejecutan Apache Traffic Server y componentes de infraestructura similares de verificación manual, autorización de script fuerte.

El punto común de los dos casos es la velocidad de la apertura. El sistema de la Kettle encaja en un único ciclo de investigación que durará semanas, la reclamación en el lado Redis mide el tiempo con minutos. Los registros públicos serán vistos en los próximos meses que no crecerán y crecerán a esta velocidad.