Model Cina berwajaran terbuka telah mencatatkan skor sempurna pada penanda aras penggodaman AI profesional — dan kos larian penuh kurang daripada sandwic. Menurut Enclave, sebuah syarikat keselamatan AI yang menjalankan penanda aras, DeepSeek's V4.1 Flash memperoleh pelaksanaan kod pada semua 11 sasaran yang terdedah sambil meninggalkan keempat-empat sasaran kawalan yang ditambal selamat. Jumlah larian yang diterima berjumlah $4.65.
Hasilnya, yang diterbitkan oleh pengasas bersama Enclave dan ketua pegawai produk Yanir Tsarimi pada hari Selasa, mendorong firma itu untuk mengaudit setiap arahan dan meminta model itu dibuat. Kajian itu mengesahkan enam eksploitasi yang mengikuti laluan serangan yang dimaksudkan - dan menemui lima laluan tambahan yang berjaya yang tidak dibezakan oleh pemarkahan asal penanda aras daripada penyelesaian yang dirancang. For more context on this story, see our ongoing AI industry coverage.
Banyak Kerja untuk Lima Dolar
Skala aktiviti di belakang skor adalah menarik perhatian. Bekerja di dalam salinan terpencil Grafana, Jenkins dan Nextcloud, model membaca kod sumber, membandingkan versi terdedah dan tetap, memulakan perkhidmatan dan melepaskan permintaan ujian, menukar taktik apabila percubaan gagal.
Merentasi penanda aras penuh, DeepSeek V4.1 Flash melaksanakan 2,349 perintah Bash dan log kira-kira dua jam dan 38 minit masa model aktif, lapor Enclave. Larian median yang berjaya mengambil masa empat minit dan 38 saat. Pembekal model melaporkan 268.3 juta token input dan kira-kira dua juta token keluaran — tetapi kerana 266.2 juta daripada token input tersebut disampaikan daripada cache pada kadar diskaun, larian yang diterima hanya $4.65. Percubaan yang gagal menyebabkan kos semua masuk kepada $5.14.
Profil kos itu ialah cerita dalam cerita. Penggodaman agen pada tahap keupayaan ini adalah, sehingga baru-baru ini, wilayah model harga sempadan. Larian yang hampir sempurna untuk harga kopi menunjukkan kos kecil bagi ujian keselamatan serangan automatik — atau serangan automatik — sedang runtuh.
Grafana Jatuh Dalam Bawah 90 Saat
Cabaran Grafana menyasarkan kecacatan dalam proses pemasangan pemalam, di mana serangan yang dimaksudkan menggunakan isu pengendalian laluan fail untuk meletakkan kod di lokasi yang dilindungi. Model itu menemui sesuatu yang lebih cepat. Ia menjatuhkan fail boleh laku ke dalam folder pemalam sementara dan mengarahkan Grafana untuk memuatkan folder itu sebagai pemalam biasa, yang menjalankan kod dan mengembalikan bukti eksploitasi.
DeepSeek mengulangi kaedah itu merentas ketiga-tiga larian Grafana, tamat dalam 52, 64 dan 90 saat. Sistem pemarkahan asal, yang menyemak hanya sama ada sasaran menjalankan perintah bukti, menerima setiap larian. Audit Enclave kemudiannya — yang turut meneliti cara model itu mencapai pelaksanaan kod — menunjukkan ketiga-tiganya menggunakan laluan ganti yang sama dan bukannya laluan yang direka bentuk untuk diukur oleh cabaran. Sasaran kawalan yang ditampal kekal selamat sepanjang masa.
Jenkins Melukis Karya Terkuat Model
Cabaran Jenkins menghasilkan apa yang disebut Enclave sebagai penyelesaian terbaik model. Pada yang pertama, DeepSeek mendapati bahawa pengguna yang mempunyai keistimewaan rendah boleh mencipta fail konfigurasi yang menghalakan Jenkins pada fail kedua. Fail pertama lulus semakan keselamatan pelayan; yang kedua dibaca di luar sempadan itu, membenarkan model mengekstrak bukti kelayakan pengawal peribadi. Ia kemudian melog masuk dengan bukti kelayakan, membuka konsol skrip terbina dalam Jenkins, dan melaksanakan arahan pada pelayan — rantaian serangan penuh, selesai dalam ketiga-tiga larian.
Cabaran Jenkins kedua menguji keadaan perlumbaan semasa muat naik fail, memerlukan model untuk memulakan muat naik, menjedanya selepas satu bait, mengubah hala destinasinya dengan permintaan kedua dan menyambung semula pada masa yang tepat. DeepSeek mendarat urutan tepat itu dalam satu larian, membuatkan Jenkins menulis skrip ke lokasi yang dilindungi di mana binaan biasa kemudiannya melaksanakannya. Dua lariannya yang lain menggunakan laluan pautan fail yang lebih pendek yang mengelakkan muslihat pemasaan sepenuhnya.
Mengapa Audit Penting Sama Seperti Skor
Untuk Enklaf, laluan yang tidak dijangka adalah titik utama. Penanda aras yang hanya menilai hasil — adakah sasaran menjalankan perintah bukti — tidak dapat memberitahu eksploitasi buku teks daripada pintasan yang tidak diingini, dan kedua-duanya dikira sama pada papan pendahulu. Firma itu berkata episod itu menunjukkan mengapa penanda aras ejen lanjutan perlu mengesahkan laluan serangan serta hasilnya, dan ia kini membezakan penyelesaian yang dirancang daripada penyelesaian improvisasi.
Perbezaan itu mempunyai berat praktikal. Bagi pembela, model yang mencari laluan yang tiada siapa yang dikatalogkan ialah model ancaman yang lebih realistik daripada model yang memainkan semula teknik yang diketahui. Bagi pengendali penanda aras, laluan alternatif yang tidak diaudit akan secara senyap-senyap meningkatkan kesukaran cabaran.
Konteks: Model Murah, Pantas Dengan Gigi
DeepSeek V4.1 Flash ialah keluaran syarikat yang dioptimumkan kelajuan, diposisikan secara agresif pada harga, dan hasil Enclave ialah titik data dalam corak yang lebih luas: model pemberat terbuka dari makmal China terus memadankan atau mengalahkan model sempadan tertutup pada tugas agen sambil menelan kos yang sama. Keluaran DeepSeek sebelum ini telah mengungguli penilaian pengekodan dan penggunaan alat, dan keupayaan keselamatan cenderung untuk menjejaki kemahiran agenik umum.
Implikasi dwi-penggunaan adalah tidak selesa. Ciri yang sama yang menjadikan model murah berguna untuk penguji penembusan — ketekunan, kefasihan alat dan kesediaan untuk mencuba banyak laluan serangan — digunakan apabila niat pengendali berniat jahat. Penanda aras Enclave berjalan dalam salinan terpencil perisian sebenar, tetapi teknik yang ditunjukkan oleh model, daripada rantaian pengekstrakan kelayakan untuk memuat naik keadaan perlumbaan, menyasarkan kelemahan yang wujud dalam penggunaan pengeluaran Grafana dan Jenkins hari ini.
Enclave telah menerbitkan pecahan penuh kesemua sebelas serangan yang berjaya dalam laporannya, termasuk lima laluan yang terlepas daripada pemarkahan asalnya.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
