Искусственный интеллект начинает искать звонившего

Аутузский вектор атаки, около 700 плохих целей. 7 августа 2026 года PortSwigger объявил, что HTTP Terminator достиг цифр с линией производства, поддерживаемого искусственным интеллектом, а не с человеческим трудом, который длится недели. В конце июля аналогичная претензия на сторону Редиса пришла. Техническая подоплека двух случаев в статье, верифицированная и неподтвержденная части, обращается к значению команд обороны.

Что такое искусственный интеллект Zero Day Connection?

Идея поиска автоматической уязвимости не нова. Fuzzing годами подталкивал программное обеспечение со случайными или мутационными входами, извлекая входы, которые приводят к сбою. Что нового, откуда оно исходит из произведенного ввода.

Языковые модели могут читать протокольные документы и выводить значимые ситуации тестирования кандидатов. Вместо того, чтобы производить случайные байты, какая интерпретация отличается от их предложений стандарта, удаляется. Затем этих кандидатов автоматически судят, оставшихся в живых оставляют человеческому исследователю.

Очень большой объем разницы. Вместо десятков сценариев, которые исследователь может построить за неделю, его можно создать и обсудить на тысячах сценариев одновременно. Безопасность искусственного интеллекта Теоретически оставшееся название долгое время обсуждалось на практике с двумя отдельными случаями в июле и августе.

Как HTTP-терминатор генерирует 30 000 векторов?

Исследовательский директор PortSwigger Джеймс Кеттл Об этом сообщает The Hacker News. Ожидалось 138 компьютеров со стандартным документом HTTP и SMTP. Документы были разделены на 15 000 небольших частей и 30 000 уникальных векторов шаблонов.

Тесты были проведены на 30 000 сайтах, которым было разрешено сканировать через приз ошибки или плохую программу уведомлений. До проверки было обнаружено около 700 плохих целей. Выводы по передаче Кеттла включают банки, общественную инфраструктуру, продукты безопасности и аэропорт.

Одна техника, Content-Type: multipart/byteranges На основе заголовка подход работал на нескольких серверных приложениях и выявил более 200 сайтов в тестовом наборе. Одним из них является американский банк, который не разглашается.

16 идей пытались сделать ответное отравление хвостом более надежным. Из оценки только методика называется «танглинг-байт». Метод оставляет пропущенный запрос без байтов и завершает производство второго ответа, пока недостающие байты не завершат запрос жертвы.

Граница автономии Техническая статья PortSwigger Ясно нарисовано. Shared-Parser рекомендовал систему для более широкой атаки под названием Confusion, проверил и агрегировал Кеттл.

Мы не можем найти его в одиночку. Джеймс Кеттл, PortSwigger

Не нужно читать приговор как маркетинговое выражение. Опорно-двигательная система Кеттла не является самовосстанавливающейся машиной; она обеспечивает масштаб на стадии производства и скрининга, на стадии концептуализации, вмешательство человека имеет решающее значение. Нулевой день на Apache Traffic Server появился в ориентированной на человека цепочке.

HTTP Terminator выпущен с открытым исходным кодом. Claude для извлечения документов и тестирования продукции в опубликованной заявке используется Claude Code для фазы исследования. Агент-ориентированные модели Anthropic Home Claude Sonnet 5 В тот же период были проведены оценки безопасности.

Кто сделал K3?

На второй стороне базы данных. Редис, 23 С версиями безопасности, опубликованными в июле 2026 года Семь отдельных спредов. Ранее исследователи поделились кодами доказательств, которые запускают удаленный код проверки ID, нацеленный на версии 6.2.22, 7.4.9, 8.6.4 и 8.8.0.

Все цепи требуют доступа к команде RESTORE. В дополнение к части, ему нужен модуль RedisBloom, включая команды EVAL и XGROUP или пакет. Сторона Azaltım проста: Если полномочия по восстановлению абсолютно не требуются, закрываются два пути.

Что является наиболее важной частью. Об этом сообщает The Hacker News. Исследователь Чаофан Шоу поделился, что агенты Kimi K3 были найдены на 19 нулях Redis примерно за 90 минут. В отдельном пробеге Redis был переведён на эксплойт 8.8.0 за 27 минут. Команда, публикующая коды доказательств, определяет себя как исследование агента искусственного интеллекта.

Модель Moonshot AI Kimi K3 с выпуском весов с открытым исходным кодом Я был уже в свой день. За несколько дней существования одного и того же модельного семейства развернулась отдельная дискуссия о роли открытых моделей в исследованиях безопасности.

Какие идиады проверены, какие не указаны?

Два случая в турецких источниках были в основном переданы с заголовком «платная разведка обнаружила 19 нулевых дней». Регистрация показывает более подробную таблицу.

Публичная запись Редиса подтверждает наличие и исправления открытого. Та же самая запись не может проверить количество доступных открытых или то, как работают независимые агенты. Числа и время собственного заявления исследователя.

На стороне Apache есть пробел в проверке. Нулевой день на Traffic Server называется CVE-2026-63078, но что является рекордным за 7 августа CVE.orgЧто можно найти в NVD В объявлении Apache также перечислены 34 уязвимости.

Домой

Обмен исследователями

Новые шаблонные методы Home

проверенный

Технический пост Portwigger

Apache CVE-2026-63078

неопределенный

CVE.org Нет регистрации в NVD

Злоупотребление в дикой природе

Нет регистрации

Каталог CISA EV

У меня есть практический эквивалент моего расставания. Команда защиты планирует в соответствии с проверенной ревностью пересмотреть модель угрозы в соответствии с заявленной скоростью. Если две информации обрабатываются в одинаковом весе или возникает ненужное восстановление.

Какие риски выявлены для злоумышленников?

Такая же способность не свойственна оборонной стороне. В июле 2026 года агенту искусственного интеллекта по имени Гермес сообщили, что министерство финансов Таиланда было запущено в неконтролируемую стадию после утечки. Наличие шагов, выполненных без человеческого руководства в работе, отличает инцидент от обычного нарушения государственного учреждения.

В модели угроз появляются три изменения:

Скорость: Производство исключений снижается с недель до часов, окно патча заполнено. Шкала: Один оператор может сканировать большое количество целей с помощью параллельно работающих агентов одновременно. Непрерывность: Агент может продолжать обработку, как только клавиатура оператора не находится в начале.

Потенциал злоупотребления автономными системами Вредные модели искусственного интеллекта Home годами. Разница в том, что больше нет предположений о примерах.

Классическое и агентное сравнение исследований

Это была идея узкого места в классических исследованиях труда. Он выдвинул гипотезу со своим исследователем Сейцзи, они были исправлены вручную. Агент проскальзывает в сторону сужения и проверки в поддерживаемом потоке.

Последняя строка самая болезненная в приложении. Учреждения, подключающие патч-календарь к номеру CVE, никогда не смогут взять уязвимость в список отслеживания при задержке регистрации. Пример Redis показывает второй формат: рекомендуемые в мае версии 6.2.22 и 7.4.9, необходимые для обновления в июле. Информации «заплатили в одно и то же время» недостаточно в одиночку, следует проверить и саму ветвь.

Какие шаги предпринимают сегодня институты?

Сомутские шаги могут быть исключены из их рекомендаций по сокращению двух случаев.

Проверьте версию Dal: Мало того, что полагайтесь на тег «обновление» на редис-установках, следует проверить полный номер версии филиала сотрудника. Сокращение авторизации: Мощные команды типа RESTORE должны быть удалены из неопределенных учетных записей, незащищенного сетевого доступа к базе данных. Уменьшить зависимость HTTP/1.1 PortSwigger предлагает избегать использования HTTP/1.1 в бэкэнд-трафике. Если он не удаляется, как в передней части, должен применяться список разрешений метода и методы, которые могут нести тело, должны быть ограничены. Переехать не дожидаясь регистрации: Известный каталог уязвимостей CISA Продолжить мониторинг, но патч-решение должно быть не только подключено к каталогу записи. Обзор производственного потока кода: Автономные модели кодирования Home Поскольку команды работают в своих трубопроводах, разрешения, выдаваемые агентам, должны быть сброшены в соответствии с принципом минимальных привилегий.

Часто задаваемые вопросы

Может ли искусственный интеллект найти уязвимость нулевого дня? Домой Производство и устранение тест-векторов-кандидатов происходит автоматически, но в обоих случаях на стадии концептуализации и верификации человек-исследователь оставался в цепи. В описании PortSwigger находка в Apache указана из человеко-прямой цепи.

Что такое HTTP-терминатор и как получить к нему доступ? HTTP Terminator - это исследовательская система, поддерживаемая искусственным интеллектом, разработанная Джеймсом Кеттлом в PortSwigger. Публикуется как open source. Для извлечения и тестирования документов Claude использует Claude. Код для стадии исследования.

Подвергаются ли опасности мои установки? Риск зависит от ветви версии и авторизации. Коды доказательств, направленные на 6.2.22, 7.4.9, 8.6.4 и 8.8.0, и все они требуют доступа к команде RESTORE. Скорректированный релиз, выпущенный 23 июля, рекомендуется сузить полномочия RESTORE до завершения перехода.

Есть записи о том, что эти открытия злоупотребляют в дикой природе? Никаких публичных записей. В обзоре The Hacker News была запись о злоупотреблениях в июльских заметках Redis, а также в известном каталоге зафиетлеров CISA. Следует иметь в виду, что ситуация может измениться в последующие недели.

Каково практическое значение команд в Турции? Календарь патчей должен быть установлен в соответствии с объявлением продавца, а не с регистрацией CVE. Redis - это краткосрочный конкретный шаг для обзора отраслевых версий команд, работающих с Apache Traffic Server и аналогичными компонентами инфраструктуры, ручной верификации.

Общим моментом этих двух случаев является скорость открытости. Система Кеттла соответствует единому исследовательскому циклу, который будет длиться неделями, утверждение на стороне Редиса измеряет время минутами. В ближайшие месяцы будет видно, что они не будут расти и расти с такой скоростью.