Theo de Raadt ændrede navnet på feltet i overskriften af pfsync-pakken efter at have modtaget en falsk rapport om en sårbarhed, der blev genereret af AI-værktøjer. Feltet „pfcksum[PF_MD5_DIGEST_LENGTH]“ blev omdøbt til „spare[16]“, da AI-modellen mente, at navnet pfcksum indikerede, at feltet gemte en hash eller checksum af pakkens indhold, og da feltet ikke blev kontrolleret, mente man, at der var en sårbarhed i koden.
Theo forklarede, at feltet i de tidlige udviklingsfaser af pfsync blev tilføjet for at gemme hashen af regelsættet med henblik på at optimere tilstandscheck. I sidste ende blev denne idé opgivet, men feltet blev tilbageholdt for at bevare bagudkompatibiliteten og har altid været fyldt med nuller. I koden blev dette felt kun nævnt i pakkestrukturen, men blev ikke kontrolleret eller udfyldt.
I den genererede AI-rapport hævdedes der, at der var en sårbarhed, da feltet beregnes ved afsendelse af pakken, men ikke kontrolleres ved modtagelse. Rapporten forklarede detaljeret, hvordan systemet fungerer, og kilden til problemet, men i virkeligheden var det en AI-hallucination, der kun blev opfundet baseret på brugen af ordene „pfcksum“ og „PF_MD5_DIGEST_LENGTH“ i koden. Den person, der brugte AI til at finde sårbarheden, havde ikke taget sig tid til at kontrollere resultatet, inden rapporten om sårbarheden blev sendt.
Kilde: opennet.ru
