Daniel Stenberg, autor de la herramienta para enviar y recibir datos a trav\u00e9s de la red, curl, critic\u00f3 el uso de herramientas de IA para crear informes sobre vulnerabilidades. Estos informes incluyen detalles elaborados, est\u00e1n escritos en un lenguaje normal y parecen de calidad, pero sin un an\u00e1lisis reflexivo, en realidad pueden ser enga\u00f1osos, reemplazando problemas reales con contenido basura que parece de calidad. <\/p>\n
El proyecto Curl otorga recompensas por la identificaci\u00f3n de nuevas vulnerabilidades y ya ha recibido 415 informes sobre problemas potenciales, de los cuales solo 64 han sido confirmados como vulnerabilidades y 77 como errores no relacionados con la seguridad. As\u00ed, el 66% de todos los informes no conten\u00edan informaci\u00f3n \u00fatil y solo robaron tiempo a los desarrolladores que podr\u00eda haberse utilizado en algo productivo. <\/p>\n
Los desarrolladores se ven obligados a perder mucho tiempo revisando informes in\u00fatiles y verificando la informaci\u00f3n presentada varias veces, ya que la calidad externa de la presentaci\u00f3n genera una confianza adicional en la informaci\u00f3n y la sensaci\u00f3n de que el desarrollador no comprende algo. Por otro lado, la elaboraci\u00f3n de tales informes requiere un m\u00ednimo de esfuerzo por parte del solicitante, quien no se toma la molestia de verificar la existencia de un problema real y simplemente copia ciegamente datos obtenidos de asistentes de IA, con la esperanza de tener suerte en la obtenci\u00f3n de una recompensa. <\/p>\n
Se presentan dos ejemplos de tales informes basura. Un d\u00eda antes de la divulgaci\u00f3n programada de la peligrosa vulnerabilidad de octubre (CVE-2023-38545), se envi\u00f3 a trav\u00e9s de Hackerone un informe que indicaba que el parche de correcci\u00f3n hab\u00eda sido hecho p\u00fablico. En realidad, el informe conten\u00eda una mezcla compuesta por el asistente de IA Google Bard, que abarcaba hechos sobre problemas similares y extractos de informaci\u00f3n detallada sobre vulnerabilidades pasadas. Como resultado, la informaci\u00f3n parec\u00eda nueva y pertinente, aunque no ten\u00eda relaci\u00f3n con la realidad. <\/p>\n
El segundo ejemplo trata sobre el mensaje recibido el 28 de diciembre acerca de un desbordamiento de b\u00fafer en el manejador de WebSocket, enviado por un usuario que ya hab\u00eda informado sobre vulnerabilidades a varios proyectos a trav\u00e9s de Hackerone. Como m\u00e9todo para reproducir el problema, el informe indicaba palabras generales sobre el env\u00edo de una solicitud modificada con un tama\u00f1o de valor que supera el tama\u00f1o del b\u00fafer, utilizado al copiar mediante strcpy. El informe tambi\u00e9n inclu\u00eda un ejemplo de correcci\u00f3n (un ejemplo de reemplazo de strcpy por strncpy) y se proporcionaba un enlace a la l\u00ednea de c\u00f3digo \u00abstrcpy(keyval, randstr)\u00bb, donde, seg\u00fan el solicitante, hab\u00eda un error. <\/p>\n
El desarrollador verific\u00f3 todo tres veces y no encontr\u00f3 ning\u00fan problema, pero dado que el informe estaba escrito con confianza e incluso conten\u00eda una correcci\u00f3n, surg\u00eda la sensaci\u00f3n de que algo se estaba pasando por alto. Intentar aclarar c\u00f3mo el investigador logr\u00f3 eludir la verificaci\u00f3n de tama\u00f1o existente antes de la llamada a strcpy y c\u00f3mo el tama\u00f1o del b\u00fafer keyval result\u00f3 ser menor que el tama\u00f1o de los datos le\u00eddos, llev\u00f3 a obtener explicaciones detalladas pero que no aportaban informaci\u00f3n adicional, que solo aclaraban causas generales evidentes del desbordamiento de b\u00fafer, no relacionadas con el c\u00f3digo espec\u00edfico de Curl. Las respuestas recordaban a una conversaci\u00f3n con un asistente AI, y tras gastar medio d\u00eda en intentos in\u00fatiles de saber c\u00f3mo exactamente se manifestaba el problema, el desarrollador se convenci\u00f3 de que realmente no hab\u00eda vulnerabilidad alguna. \u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u043e\u0442\u0447\u0451\u0442\u044b \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0442 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u044f\u0437\u044b\u043a\u043e\u043c \u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438, \u043d\u043e \u0431\u0435\u0437 \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 \u0434\u0435\u043b\u0435 \u043c\u043e\u0433\u0443\u0442 \u043b\u0438\u0448\u044c \u0432\u0432\u043e\u0434\u0438\u0442\u044c \u0432 \u0437\u0430\u0431\u043b\u0443\u0436\u0434\u0435\u043d\u0438\u0435, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0449\u0438\u043c \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c. \u041f\u0440\u043e\u0435\u043a\u0442 Curl […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-112715","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problemas causados por informes sobre vulnerabilidades generados por herramientas AI | ProHoster","description":"Daniel Stenberg, el autor de la herramienta para transferir datos a trav\u00e9s de la red curl, critic\u00f3 el uso de herramientas AI en la creaci\u00f3n de informes sobre vulnerabilidades.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 | ProHoster","og:description":"\u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-01-05T19:10:15+00:00","article:modified_time":"2024-01-05T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/112715","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=112715"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/112715\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=112715"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=112715"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=112715"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"