Daniel Stenberg, der Autor des Tools zur \u00dcbertragung und zum Empfang von Daten \u00fcber das Netzwerk curl, hat die Verwendung von KI-Tools zur Erstellung von Berichten \u00fcber Sicherheitsanf\u00e4lligkeiten kritisiert. Solche Berichte enthalten detaillierte Informationen, sind in normaler Sprache verfasst und wirken qualitativ hochwertig. Ohne eine gr\u00fcndliche Analyse k\u00f6nnen sie jedoch irref\u00fchrend sein, indem sie reale Probleme durch qualitativ ansprechend aussehenden, sinnlosen Inhalt ersetzen. <\/p>\n
Das Curl-Projekt vergibt Belohnungen f\u00fcr die Entdeckung neuer Sicherheitsanf\u00e4lligkeiten und hat bereits 415 Berichte \u00fcber potenzielle Probleme erhalten, von denen nur 64 als Sicherheitsanf\u00e4lligkeiten best\u00e4tigt und 77 als nicht sicherheitsrelevante Fehler eingestuft wurden. So enthielten 66 % aller Berichte keine n\u00fctzlichen Informationen und entzogen den Entwicklern Zeit, die besser f\u00fcr sinnvolle Aufgaben genutzt werden k\u00f6nnte. <\/p>\n
Entwickler sind gezwungen, viel Zeit mit der Durchsicht nutzloser Berichte zu verschwenden und die darin enthaltenen Informationen mehrmals zu \u00fcberpr\u00fcfen, da die \u00e4u\u00dfere Qualit\u00e4t der Pr\u00e4sentation zus\u00e4tzliches Vertrauen in die Informationen weckt und der Eindruck entsteht, dass der Entwickler etwas missverstanden hat. Andererseits erfordert die Erstellung eines solchen Berichts minimale Anstrengungen von dem Bericht erstattenden Antragsteller, der sich nicht die M\u00fche macht, die Existenz eines realen Problems zu \u00fcberpr\u00fcfen, sondern einfach blind die von KI-Assistenten gelieferten Daten kopiert, in der Hoffnung, Gl\u00fcck im Wettlauf um die Belohnung zu haben. <\/p>\n
Es werden zwei Beispiele f\u00fcr solche fehlerhaften Berichte angef\u00fchrt. Einen Tag vor der geplanten Offenlegung von Informationen \u00fcber die gef\u00e4hrliche Sicherheitsanf\u00e4lligkeit im Oktober (CVE-2023-38545) wurde \u00fcber Hackerone ein Bericht eingereicht, dass der Patch mit dem Fix \u00f6ffentlich zug\u00e4nglich gemacht wurde. In Wirklichkeit enthielt der Bericht eine von dem KI-Assistenten Google Bard zusammengestellte Mischung aus Fakten zu \u00e4hnlichen Problemen und Ausz\u00fcgen detaillierter Informationen zu fr\u00fcheren Sicherheitsanf\u00e4lligkeiten. In der Folge wirkte die Information neu und aktuell, hatte jedoch keinen Bezug zur Realit\u00e4t. <\/p>\n
Das zweite Beispiel behandelt die am 28. Dezember erhaltene Meldung \u00fcber einen Buffer Overflow im WebSocket-Handler, die von einem Benutzer gesendet wurde, der bereits verschiedene Projekte \u00fcber Hackerone \u00fcber Schwachstellen informiert hatte. Als Methode zur Reproduktion des Problems wurden im Bericht allgemeine Hinweise zur \u00dcbertragung einer modifizierten Anfrage angef\u00fchrt, bei der der Wert die Gr\u00f6\u00dfe des verwendeten Buffers, der mit strcpy kopiert wird, \u00fcberschreitet. Im Bericht wurde auch ein Beispiel f\u00fcr eine Korrektur (z. B. den Austausch von strcpy durch strncpy) angegeben, sowie ein Verweis auf die Codezeile \u201estrcpy(keyval, randstr)\u201c, in der der Antragsteller einen Fehler vermutete. <\/p>\n
Der Entwickler \u00fcberpr\u00fcfte alles drei Mal und fand keine Probleme. Da der Bericht jedoch selbstbewusst verfasst war und sogar eine L\u00f6sung enthielt, hatte er das Gef\u00fchl, dass irgendwo etwas \u00fcbersehen wurde. Der Versuch zu kl\u00e4ren, wie es dem Forscher gelungen war, die vor dem Aufruf von strcpy vorhandene explizite Gr\u00f6\u00dfenpr\u00fcfung zu umgehen und wie die Puffergr\u00f6\u00dfe von keyval kleiner war als die Gr\u00f6\u00dfe der gelesenen Daten, f\u00fchrte zu detaillierten, aber nicht weiterf\u00fchrenden Erkl\u00e4rungen, die nur offensichtlich allgemeine Gr\u00fcnde f\u00fcr Buffer\u00fcberl\u00e4ufe er\u00f6rterten, die nicht mit dem spezifischen Curl-Code zusammenhingen. Die Antworten erinnerten an die Kommunikation mit einem KI-Assistenten, und nachdem er den halben Tag mit sinnlosen Versuchen verbracht hatte, herauszufinden, wie genau das Problem auftrat, war der Entwickler endg\u00fcltig \u00fcberzeugt, dass es tats\u00e4chlich keine Sicherheitsanf\u00e4lligkeit gab. \u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u043e\u0442\u0447\u0451\u0442\u044b \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0442 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u044f\u0437\u044b\u043a\u043e\u043c \u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438, \u043d\u043e \u0431\u0435\u0437 \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 \u0434\u0435\u043b\u0435 \u043c\u043e\u0433\u0443\u0442 \u043b\u0438\u0448\u044c \u0432\u0432\u043e\u0434\u0438\u0442\u044c \u0432 \u0437\u0430\u0431\u043b\u0443\u0436\u0434\u0435\u043d\u0438\u0435, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0449\u0438\u043c \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c. \u041f\u0440\u043e\u0435\u043a\u0442 Curl […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-112715","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Probleme durch von KI-Tools erstellte Berichte \u00fcber Sicherheitsanf\u00e4lligkeiten | ProHoster","description":"Daniel Stenberg, der Autor des Tools zum Abrufen und Senden von Daten \u00fcber das Netzwerk curl, \u00e4u\u00dferte Kritik an der Verwendung von KI-Tools bei der Erstellung von Berichten \u00fcber Sicherheitsanf\u00e4lligkeiten.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 | ProHoster","og:description":"\u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-01-05T19:10:15+00:00","article:modified_time":"2024-01-05T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/112715","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=112715"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/112715\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=112715"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=112715"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=112715"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"