สื่อต่างประเทศเปิดเผยว่า Kimi Desktop มีความเสี่ยงด้านความปลอดภัย: หากห่วงโซ่การอัปเดตถูกแฮ็ก โทรจันอาจถูกติดตั้งลงในคอมพิวเตอร์ผู้ใช้ในรูปแบบของการอัปเดต

動察 Beating AI ข่าวด่วน RuntimeWire ตรวจสอบ Kimi Desktop แบบย้อนกลับพบว่า Windows เวอร์ชัน 3.1.5 และ 3.1.10 ทั้งสองเวอร์ชันจะดาวน์โหลดโปรแกรมแยกต่างหาก `kimiim-cli` ที่เกี่ยวข้องกับฟังก์ชันแชทกลุ่มโดยอัตโนมัติ แต่ก่อนการติดตั้ง ไคลเอนต์ไม่ตรวจสอบว่าไฟล์ถูกแก้ไขหรือไม่ และไม่ยืนยันว่าโปรแกรมได้รับการลงนามโดย Moonshot AI หรือไม่

โปรแกรมนี้ดึงเวอร์ชันล่าสุดผ่าน CDN ของ Moonshot AI หากบัญชีเผยแพร่หรือช่องทางอัปเดตที่เกี่ยวข้องถูกโจมตี ผู้โจมตีสามารถแทนที่โปรแกรมปกติด้วยโค้ดที่เป็นอันตราย และ Kimi Desktop ยังคงติดตั้งลงในเครื่องผู้ใช้ตามขั้นตอนการอัปเดตปกติ โดยไม่จำเป็นต้องได้รับคีย์การลงนามโค้ดของ Moonshot AI

ปัจจุบัน kimiim-cli บน CDN ยังคงมีลายเซ็นดิจิทัลที่ถูกต้องของ Moonshot AI และไม่มีหลักฐานว่าปัญหานี้ถูกนำไปใช้จริงแล้ว ปัญหาคือ Kimi Desktop ไม่บังคับตรวจสอบลายเซ็นนี้ก่อนการติดตั้ง RuntimeWire ระบุว่าได้แจ้งปัญหานี้ให้ Moonshot AI ทราบล่วงหน้าแล้ว แต่ยังไม่ได้รับการตอบกลับเมื่อถึงเวลาตีพิมพ์