KI-gestütztes Pentesting wird oft theoretisch diskutiert. Um zu beurteilen, wie es sich in der Praxis bewährt, Aikido eine Sicherheitsbewertung von Coolify Aikido , einer weit verbreiteten Open-Source-Plattform für den Eigenhosting.
Coolify hat fast 50.000 GitHub-Sterne und mehr als 500 Mitwirkende. Es wird aktiv gepflegt und wurde einer umfassenden Überprüfung durch die Community unterzogen. Wie viele ausgereifte Open-Source-Projekte hatte auch Coolify in der Vergangenheit öffentlich bekannt gewordene Schwachstellen.
Diese Bewertung wurde anhand einer ausgereiften Codebasis mit bekannter Schwachstellengeschichte durchgeführt, ohne das KI-System mit früheren Berichten oder zuvor offengelegten Problemen zu füttern. Das Ziel bestand darin, zu bewerten, wie Aikido , ein KI-Penetrationstests System in einer realen Produktionsumgebung funktioniert.
Die KI-gestützte Bewertung führte zur Identifizierung von sieben Sicherheitslücken, denen alle CVEs zugewiesen wurden. Mehrere dieser Probleme ermöglichten eine Privilegienerweiterung auf Administratorebene oder die Remote-Codeausführung als Root auf dem Hostsystem, was zu einer vollständigen Kompromittierung der betroffenen Instanz führte.
Alle Ergebnisse wurden dem Coolify-Team verantwortungsbewusst mitgeteilt und inzwischen behoben.
Hier sind die CVEs:
- Umgehung der Ratenbegrenzung bei der Anmeldung: CVE-2025-64422
- Benutzer mit geringen Berechtigungen können sich selbst als Administrator einladen: CVE-2025-64421
- Befehlsinjektion über Docker Compose: CVE-2025-64419
- Benutzer mit geringen Berechtigungen können Admin-Einladungslinks sehen und verwenden: CVE-2025-64423
- Befehlsinjektion über Git-Quellkonfiguration: CVE-2025-64424
- Host-Header-Injektion bei Passwort vergessen: CVE-2025-64425
- Mitglieder können den privaten Schlüssel des Root-Benutzers einsehen: CVE-2025-64420
Testansatz
Die Bewertung bezog sich auf Coolify Version 4.0.0 Beta 434, die mit der Standardinstallationsmethode von Hetzner bereitgestellt wurde.
Die Tests wurden mit KI-Penetrationstests Aikidodurchgeführt. Die Bewertung umfasste:
- Automatisierte Black-Box-Tests von exponierten Endpunkten und Anwendungsabläufen
- KI-basierte White-Box-Analyse sicherheitsrelevanter Codepfade
- Kontinuierliche Argumentation über Authentifizierungs-, Autorisierungs- und Befehlsausführungslogik hinweg
Die KI-Agenten konzentrierten sich auf Bereiche, die häufig mit schwerwiegenden Schwachstellen in Infrastrukturplattformen in Verbindung gebracht werden, darunter Anmeldeabläufe, Einladungsmechanismen, Berechtigungsgrenzen und benutzergesteuerte Eingaben, die an Systembefehle weitergeleitet werden.
In mehreren Fällen deckten KI-Agenten selbstständig ausnutzbare Probleme auf. In anderen Fällen wurden Schwachstellen durch manuelle Analysen identifiziert und zur Bewertung von Abdeckungslücken in der aktuellen Generation von Agenten verwendet.
Im Rahmen einer verantwortungsvollen Sicherheitsforschung wurden alle Ergebnisse vor der Veröffentlichung überprüft, um ihre Ausnutzbarkeit zu bestätigen und ihre Auswirkungen zu bewerten.
Übersicht über die Ergebnisse
Die Schwachstellen lassen sich in folgende Kategorien einteilen:
- Authentifizierungsschwächen, die Brute-Force-Angriffe ermöglichen
- Mehrere Wege zur Ausweitung von Berechtigungen durch Benutzer mit geringen Berechtigungen
- Befehlsinjektionsschwachstellen, die zur Remote-Codeausführung führen
- Offenlegung hochsensibler Zugangsdaten
Detaillierte Ergebnisse
Fazit
Diese Bewertung zeigt, wie KI-gestützte Penetrationstests eingesetzt werden können, um hochwirksame Schwachstellen in komplexen, produktionsreifen Open-Source-Systemen zu identifizieren.
Die KI-gestützte Bewertung von Coolify ergab sieben CVEs, darunter mehrere Wege zur Rechteausweitung und mehrere Möglichkeiten zur vollständigen Kompromittierung des Hosts. Während einige Ergebnisse direkt von KI-Agenten aufgedeckt wurden, erforderten andere menschliches Eingreifen, um die Ausnutzbarkeit zu validieren, zusätzlichen Kontext zu liefern oder Lücken in der aktuellen Abdeckung zu identifizieren.
Diese Rückkopplungsschleife ist ein bewusster Bestandteil der Aikido von Aikido KI-Penetrationstests . Menschliche Eingriffe in dieser Phase verbessern die Gesamtqualität, indem sie Fehlalarme reduzieren und die nächste Generation von Agenten darüber informieren, die Abdeckung und Tiefe im Laufe der Zeit zu erweitern.
Zusammen unterstreichen diese Ergebnisse sowohl die derzeitige Wirksamkeit von KI-gesteuerten Penetrationstests als auch den Weg zu einer kontinuierlichen Verbesserung autonomer Sicherheitstests in großem Maßstab.
Erfahren Sie hier mehr über Aikido .
Sichern Sie Ihre Software jetzt.
.avif)
