Kimi Work 3.2.4 の隠されたシステムプロンプトのオーバーライドが、許可なくローカルファイルの読み取りを引き起こした
制御された Windows テストでは Manual approval mode における読み取りが再現されました。既定値に復元したコントロールは問題なく、ネットワーク送信は発生しませんでした。
By Ryan Merket · Published · Updated
RUNTIMEWIRE INVESTIGATION — Scoop
Original reporting by RuntimeWire, based on reverse engineering.
なぜ重要なのか
Kimi Workのドキュメントは、手動承認がユーザーの同意なしにアクションが行われるのを防ぐと謳っている。自動承認された読み取りは、ユーザーがゲートを見る前にシステムレベルの指示によってローカルデータが露出することを可能にする。
Reporting record
Finding
Kimi Work 3.2.4 contains an undocumented system-prompt override that caused an unrelated request to trigger a local-file read outside the selected workspace, while separate permission controls continued to block write and shell actions.
How we verified
Methods: reverse engineering.
RuntimeWire reviewed first-party packaged components and conducted controlled A/B tests using synthetic data. With the override active, an ordinary math question triggered one tool call and returned the exact contents of a synthetic file outside the selected workspace. After restoring the default prompt and opening a new conversation, the identical question produced no tool call and no canary. A separate test showed the agent attempting an alternate route after a denied Write action; the permission system blocked both attempts. Original packages, screenshots, test materials and cryptographic hashes were preserved. No real credentials were accessed, and the localhost listener recorded zero requests.
RuntimeWire compared default and override-enabled configurations in separate new conversations while keeping the user prompt, workspace and permission mode constant. Testing used disposable files containing unique synthetic canaries. Potentially modifying actions were rejected. Packaged-code review independently confirmed that the setting replaces the composed system prompt for new conversations while tool permissions remain separately enforced. Activation details, operational prompts and internal interfaces are withheld pending vendor review.
Tested versions:
- Kimi Work for Windows 3.2.4
- @kimi/daimon 0.5.64
- @moonshot-ai/agent-core 0.15.7
- bundled Kimi Code 0.36.0
Reproduction
RuntimeWire independently reproduced the core finding.
Reproduced internally using controlled synthetic data. Public reproduction instructions are withheld because they would disclose the feature’s activation mechanism and operational prompts. Full details can be provided privately to the vendor or an editor under embargo.
File hashes
sha256:6ec2f17949cceedc325857bc6a38afa48a2cd979e748d444e998865cd3020d78 app(9).asarsha256:8e26364ab4a0f33c4284cca083cf94b5f48622bf6e3960067b4100e18ed1b670 daimon-bundle.tar(1).gz
Company response
RuntimeWire requested comment; the company had not responded by publication time.
Moonshot AIの共同創業者兼CEO Yang Zhilin は Kimi Work の中で権限に関する問題を抱えている。RuntimeWireが9月2日に行ったテストで、埋め込まれたシステムプロンプトの上書きが、無害な数学の質問に答えている間にデスクトップエージェントに関連のないローカルファイルを読み取らせ、読み取り承認ダイアログを表示しないままにすることが分かった。
その発見は、Moonshotが8月31日にリリースした Windows向け Kimi Work 3.2.4で再現された。テストでは合成のカナリアファイルとA/Bコントロールを使用した。カスタム指示が有効な場合、Kimiは1回ローカルファイル用ツール呼び出しを行いカナリアを返した。デフォルトプロンプトを復元し、新しい会話を開いて同一の数学の質問を送信すると、Kimiはツール呼び出しを行わずカナリアも返さなかった。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.