Yabancı medya, Kimi Desktop'un güvenlik riskleri taşıdığını ortaya çıkardı: Güncelleme zinciri ele geçirilirse, truva atı kullanıcının bilgisayarına güncelleme gibi yüklenebilir.
动察 Beating AI hızlı haberi: RuntimeWire, Kimi Desktop'ı tersine mühendislikle incelediğinde, 3.1.5 ve 3.1.10 Windows sürümlerinin, grup sohbeti işleviyle ilgili bağımsız bir program olan `kimiim-cli`'yi otomatik olarak indirdiğini tespit etti. Ancak kurulumdan önce, istemci ne dosyanın değiştirilip değiştirilmediğini kontrol ediyor ne de programın Moonshot AI tarafından imzalanıp imzalanmadığını doğruluyor.
Bu program, en son sürümü Moonshot AI'nin CDN'si üzerinden alıyor. İlgili yayın hesabı veya güncelleme zinciri ele geçirilirse, saldırgan normal programı kötü amaçlı kodla değiştirebilir ve Kimi Desktop, Moonshot AI'nin kod imzalama anahtarını ele geçirmesine gerek kalmadan, normal güncelleme süreciyle bunu kullanıcının bilgisayarına yükleyebilir.
Şu anda CDN üzerindeki kimiim-cli, geçerli bir Moonshot AI dijital imzasına sahip ve bu sorunun fiilen istismar edildiğine dair bir kanıt yok. Sorun, Kimi Desktop'ın kurulumdan önce bu imzayı zorunlu olarak doğrulamamasıdır. RuntimeWire, sorunu önceden Moonshot AI'ye bildirdiğini ancak yayın anında henüz bir yanıt almadığını belirtti.
