এআই টুলস দ্বারা প্রস্তুত দুর্বলতার রিপোর্টের কারণে সমস্যা

ড্যানিয়েল স্টেনবার্গ, নেটওয়ার্ক কার্লের মাধ্যমে ডেটা গ্রহণ এবং প্রেরণের জন্য একটি ইউটিলিটির লেখক, দুর্বলতার প্রতিবেদন তৈরি করার সময় এআই সরঞ্জামগুলির ব্যবহারের সমালোচনা করেছেন। এই ধরনের প্রতিবেদনে বিশদ তথ্য অন্তর্ভুক্ত থাকে, সাধারণ ভাষায় লেখা হয় এবং দেখতে উচ্চ-মানের, কিন্তু বাস্তবে চিন্তাশীল বিশ্লেষণ ছাড়াই সেগুলি কেবল বিভ্রান্তিকর হতে পারে, প্রকৃত সমস্যাগুলিকে গুণমানের-সুদর্শন আবর্জনা সামগ্রী দিয়ে প্রতিস্থাপন করে।

কার্ল প্রকল্পটি নতুন দুর্বলতা চিহ্নিত করার জন্য পুরষ্কার প্রদান করে এবং ইতিমধ্যে সম্ভাব্য সমস্যার 415টি প্রতিবেদন পেয়েছে, যার মধ্যে শুধুমাত্র 64টি দুর্বলতা হিসাবে এবং 77টি অ-নিরাপত্তা বাগ হিসাবে নিশ্চিত করা হয়েছে৷ এইভাবে, সমস্ত রিপোর্টের 66% কোনো দরকারী তথ্য ধারণ করেনি এবং শুধুমাত্র ডেভেলপারদের কাছ থেকে সময় নিয়েছে যা দরকারী কিছুতে ব্যয় করা যেতে পারে।

বিকাশকারীরা অকেজো রিপোর্ট পার্সিং করতে এবং সেখানে থাকা তথ্যগুলিকে বেশ কয়েকবার দ্বিগুণ-চেক করতে অনেক সময় নষ্ট করতে বাধ্য হয়, যেহেতু ডিজাইনের বাহ্যিক গুণমান তথ্যের উপর অতিরিক্ত আস্থা তৈরি করে এবং একটি অনুভূতি রয়েছে যে বিকাশকারী কিছু ভুল বুঝেছেন। অন্যদিকে, এই ধরনের একটি প্রতিবেদন তৈরি করতে আবেদনকারীর কাছ থেকে ন্যূনতম প্রচেষ্টার প্রয়োজন, যিনি একটি বাস্তব সমস্যা পরীক্ষা করতে বিরক্ত করেন না, তবে পুরষ্কার পাওয়ার লড়াইয়ে ভাগ্যের আশায় AI সহকারীর কাছ থেকে প্রাপ্ত ডেটা অন্ধভাবে অনুলিপি করেন।

এই ধরনের আবর্জনা প্রতিবেদনের দুটি উদাহরণ দেওয়া হয়েছে। বিপজ্জনক অক্টোবর দুর্বলতা (CVE-2023-38545) সম্পর্কে তথ্যের পরিকল্পিত প্রকাশের আগের দিন, হ্যাকারনের মাধ্যমে একটি প্রতিবেদন পাঠানো হয়েছিল যে ফিক্স সহ প্যাচটি সর্বজনীনভাবে উপলব্ধ হয়ে গেছে। প্রকৃতপক্ষে, প্রতিবেদনে একই ধরনের সমস্যা এবং গুগলের এআই সহকারী বার্ড দ্বারা সংকলিত অতীতের দুর্বলতা সম্পর্কে বিস্তারিত তথ্যের স্নিপেট সম্পর্কে তথ্যের মিশ্রণ রয়েছে। ফলস্বরূপ, তথ্যটি নতুন এবং প্রাসঙ্গিক লাগছিল এবং বাস্তবতার সাথে কোন সংযোগ ছিল না।

দ্বিতীয় উদাহরণটি 28 ডিসেম্বর ওয়েবসকেট হ্যান্ডলারে একটি বাফার ওভারফ্লো সম্পর্কে প্রাপ্ত একটি বার্তা নিয়ে উদ্বেগ প্রকাশ করে, যেটি এমন একজন ব্যবহারকারীর দ্বারা পাঠানো হয়েছিল যিনি ইতিমধ্যে হ্যাকারনের মাধ্যমে দুর্বলতা সম্পর্কে বিভিন্ন প্রকল্পকে জানিয়েছিলেন। সমস্যা পুনরুত্পাদনের একটি পদ্ধতি হিসাবে, প্রতিবেদনে strcpy এর সাথে অনুলিপি করার সময় ব্যবহৃত বাফারের আকারের চেয়ে বড় মান সহ একটি পরিবর্তিত অনুরোধ পাস করার বিষয়ে সাধারণ শব্দগুলি অন্তর্ভুক্ত করা হয়েছে। প্রতিবেদনে একটি সংশোধনের উদাহরণও দেওয়া হয়েছে (strncpy-এর সাথে strcpy প্রতিস্থাপনের একটি উদাহরণ) এবং "strcpy(keyval, randstr)" কোডের লাইনের একটি লিঙ্ক নির্দেশ করেছে, যা আবেদনকারীর মতে, একটি ত্রুটি রয়েছে৷

বিকাশকারী তিনবার সবকিছু দুবার চেক করেছে এবং কোনও সমস্যা খুঁজে পায়নি, কিন্তু যেহেতু রিপোর্টটি আত্মবিশ্বাসের সাথে লেখা হয়েছিল এবং এমনকি একটি সংশোধনও রয়েছে, তাই একটি অনুভূতি ছিল যে কোথাও কিছু অনুপস্থিত। ব্যাখ্যা করার একটি প্রয়াস কিভাবে গবেষক strcpy কলের আগে উপস্থিত সুস্পষ্ট আকারের চেক বাইপাস করতে পেরেছিলেন এবং কীভাবে কীভাল বাফারের আকার পঠিত ডেটার আকারের চেয়ে কম ছিল তা বিস্তারিত, কিন্তু অতিরিক্ত তথ্য বহন করে না, ব্যাখ্যা যেটি শুধুমাত্র নির্দিষ্ট কার্ল কোডের সাথে সম্পর্কিত নয় বাফার ওভারফ্লো এর সুস্পষ্ট সাধারণ কারণগুলি চিবিয়েছে। উত্তরগুলি একজন AI সহকারীর সাথে যোগাযোগের কথা মনে করিয়ে দেয়, এবং সমস্যাটি কীভাবে নিজেকে প্রকাশ করে তা খুঁজে বের করার জন্য অর্থহীন প্রচেষ্টায় অর্ধেক দিন ব্যয় করার পরে, বিকাশকারী অবশেষে নিশ্চিত হন যে আসলে কোনও দুর্বলতা ছিল না।

উত্স: opennet.ru