{"id":112715,"date":"2024-01-05T21:10:15","date_gmt":"2024-01-05T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah"},"modified":"2024-01-05T21:10:15","modified_gmt":"2024-01-05T19:10:15","slug":"problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","title":{"rendered":"AI-t\u00f6\u00f6riistadega koostatud haavatavuste raportitest tulenevad probleemid","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Daniel Stenberg, curl-t\u00f6\u00f6riista autor, kritiseeris AI-t\u00f6\u00f6riistade kasutamist haavatavuste raportite koostamisel. Need raportid sisaldavad detailset teavet, on kirjutatud arusaadavas keeles ja n\u00e4ivad kvaliteetsed, kuid ilma s\u00fcgava anal\u00fc\u00fcsita v\u00f5ivad nad tegelikult eksitada, asendades reaalsed probleemid kvaliteetselt n\u00e4iva pr\u00fcgi sisuga. <\/p>\n
Curl-projekt maksab uute haavatavuste avastamise eest ja on juba saanud 415 v\u00f5imalikku probleemiraportit, millest vaid 64 on kinnitatud kui haavatavused ning 77 kui mitte-ohtlikud vead. Seega ei sisaldanud 66% k\u00f5igist raportitest mingeid kasulikke andmeid ja v\u00f5tsid ainult arendajate aega, mida oleks saanud kasutada millegi kasulikuma jaoks. <\/p>\n
Arendajad kulutavad liiga palju aega m\u00f5ttetute aruannete anal\u00fc\u00fcsimiseks ja teavet korduvalt kontrollimiseks, kuna v\u00e4lise esituse kvaliteet tekitab lisainfot usaldusv\u00e4\u00e4rsuse ning annab tunde, et arendaja on midagi valesti m\u00f5istnud. Teiselt poolt n\u00f5uab sellise aruande koostamine minimaalset vaeva taotlejalt, kes ei vaeva end reaalse probleemi kontrollimisega, vaid kopeerib pimedalt AI-assistentidelt saadud andmeid, lootes \u00f5nne tasu saavutamisel. <\/p>\n
Toodud on kaks n\u00e4idet sellistest m\u00f5ttetutest aruannetest. \u00dcks p\u00e4ev enne oktoobri ohtliku haavatavuse (CVE-2023-38545) plaanitud teavitamist saadeti Hackerone'i kaudu aruanne, et parandusega seotud plaastrid on avalikustatud. Tegelikult sisaldas aruanne Google Bar di koostatud faktide segu sarnaste probleemide ja varasemate haavatavuste \u00fcksikasjalike andmete l\u00f5ikudest. L\u00f5puks tundus teave uus ja asjakohane, kuid ei olnud reaalsusega seotud. <\/p>\n
Teine n\u00e4ide k\u00e4sitleb 28. detsembril saadud WebSocketi t\u00f6\u00f6tlejas tuvastatud puhver\u00fclevoolu teateid, mille on saatnud kasutaja, kes on juba teavitanud erinevaid projekte Hackerone'is haavatavustest. Probleemi kordamise meetodina toodi aruandes v\u00e4lja, et tuleb edastada muudetud p\u00e4ring, mille v\u00e4\u00e4rtuse suurus \u00fcletab kopeerimise k\u00e4igus kasutatava puhvri suurust kasutades strcpy. Aruandes toodi ka v\u00e4lja n\u00e4ide parandamisest (strcpy asendamine strncpy-ga) ja viidati koodireale \"strcpy(keyval, randstr)\", kus kaebaja arvates oli viga. <\/p>\n
Arendaja kontrollis k\u00f5ik kolm korda ja ei leidnud mingeid probleeme, kuid kuna raport oli esitatud veenvalt ja sisaldas isegi parandusi, tekkis tunne, et midagi j\u00e4\u00e4b siiski kahe silma vahele. Katse t\u00e4psustada, kuidas \u00f5nnestus uurijal m\u00f6\u00f6duda olemasolevast m\u00f5jutamatud kontrollist size'i enne strcpy kutset, ja kuidas keyval'i puut suurus osutus v\u00e4iksemaks kui loetud andmete suurus, t\u00f5i kaasa \u00fcksikasjalikud, kuid mitte midagi lisainfot andvad seletused, mis lihtsalt anal\u00fc\u00fcsisid ilmselt \u00fcldisi p\u00f5hjuseid, mis ei olnud seotud konkreetse Curl'i koodiga. Vastused meenutasid suhtlemist AI abil ja p\u00e4rast pool p\u00e4eva m\u00f5ttetute katsete tegemist, et m\u00f5ista, kuidas probleem t\u00e4pselt avaldub, veendus arendaja l\u00f5puks, et tegelikult mingit haavatavust pole. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"