Daniel Stenberg, auteur de l'outil pour envoyer et recevoir des donn\u00e9es sur le r\u00e9seau, curl, a critiqu\u00e9 l'utilisation des outils d'IA pour la cr\u00e9ation de rapports sur les vuln\u00e9rabilit\u00e9s. De tels rapports contiennent des informations d\u00e9taill\u00e9es, r\u00e9dig\u00e9es dans un langage clair et semblent de qualit\u00e9, mais sans une analyse approfondie, ils peuvent en r\u00e9alit\u00e9 induire en erreur, rempla\u00e7ant les v\u00e9ritables probl\u00e8mes par un contenu de qualit\u00e9 visuellement attrayante mais sans substance. <\/p>\n
Le projet Curl offre des r\u00e9compenses pour la d\u00e9couverte de nouvelles vuln\u00e9rabilit\u00e9s et a d\u00e9j\u00e0 re\u00e7u 415 rapports concernant des probl\u00e8mes potentiels, dont seulement 64 ont \u00e9t\u00e9 confirm\u00e9s comme des vuln\u00e9rabilit\u00e9s, et 77 comme des erreurs non li\u00e9es \u00e0 la s\u00e9curit\u00e9. Ainsi, 66 % de tous les rapports ne contenaient aucune information utile et n'ont fait perdre aux d\u00e9veloppeurs un temps pr\u00e9cieux qui aurait pu \u00eatre consacr\u00e9 \u00e0 des t\u00e2ches plus productives. <\/p>\n
Les d\u00e9veloppeurs sont contraints de perdre beaucoup de temps \u00e0 analyser des rapports inutiles et \u00e0 v\u00e9rifier les informations qui y sont fournies plusieurs fois, car la qualit\u00e9 externe de la pr\u00e9sentation suscite une confiance suppl\u00e9mentaire dans les informations et donne l'impression que le d\u00e9veloppeur a mal compris quelque chose. D'autre part, la r\u00e9daction d'un tel rapport exige un minimum d'efforts de la part du d\u00e9clarant, qui ne prend pas la peine de v\u00e9rifier l'existence d'un v\u00e9ritable probl\u00e8me, mais se contente de copier aveugl\u00e9ment des donn\u00e9es obtenues par des assistants IA, esp\u00e9rant avoir de la chance dans la qu\u00eate d'une r\u00e9compense. <\/p>\n
Deux exemples de ce type de rapports inutiles sont fournis. Un jour avant la divulgation pr\u00e9vue d'une vuln\u00e9rabilit\u00e9 critique d'octobre (CVE-2023-38545), un rapport a \u00e9t\u00e9 soumis via Hackerone disant que le correctif avait \u00e9t\u00e9 rendu public. En r\u00e9alit\u00e9, le rapport contenait un m\u00e9lange compos\u00e9 par l'assistant IA Google Bard de faits sur des probl\u00e8mes similaires et d'extraits d'informations d\u00e9taill\u00e9es sur des vuln\u00e9rabilit\u00e9s pass\u00e9es. Au final, l'information semblait nouvelle et pertinente, mais n'avait aucun lien avec la r\u00e9alit\u00e9. <\/p>\n
Le deuxi\u00e8me exemple concerne le message de d\u00e9passement de tampon re\u00e7u le 28 d\u00e9cembre dans le gestionnaire WebSocket, envoy\u00e9 par un utilisateur ayant d\u00e9j\u00e0 inform\u00e9 divers projets des vuln\u00e9rabilit\u00e9s via Hackerone. Comme m\u00e9thode de reproduction du probl\u00e8me, le rapport mentionnait des mots g\u00e9n\u00e9raux sur l'envoi d'une requ\u00eate modifi\u00e9e dont la taille des valeurs d\u00e9passait celle du tampon utilis\u00e9 lors de la copie avec strcpy. Le rapport incluait \u00e9galement un exemple de correction (remplacement de strcpy par strncpy) et mentionnait la ligne de code \u00ab strcpy(keyval, randstr) \u00bb, o\u00f9 le d\u00e9clarant pensait qu'il y avait une erreur. <\/p>\n
Le d\u00e9veloppeur a v\u00e9rifi\u00e9 trois fois et n'a trouv\u00e9 aucun probl\u00e8me, mais \u00e9tant donn\u00e9 que le rapport \u00e9tait r\u00e9dig\u00e9 de mani\u00e8re convaincante et contenait m\u00eame une correction, il a eu l'impression qu'il manquait quelque chose. La tentative de clarifier comment le chercheur avait r\u00e9ussi \u00e0 contourner la v\u00e9rification de taille explicite pr\u00e9sente avant l'appel \u00e0 strcpy et comment la taille du tampon keyval \u00e9tait inf\u00e9rieure \u00e0 la taille des donn\u00e9es lues a abouti \u00e0 des explications d\u00e9taill\u00e9es mais n'apportant aucune information compl\u00e9mentaire, qui ne recrachaient que des raisons \u00e9videntes de d\u00e9bordement de tampon, sans lien avec le code sp\u00e9cifique de Curl. Les r\u00e9ponses ressemblaient \u00e0 une interaction avec un assistant AI et apr\u00e8s avoir d\u00e9pens\u00e9 une demi-journ\u00e9e en tentatives infructueuses pour comprendre comment le probl\u00e8me se manifestait pr\u00e9cis\u00e9ment, le d\u00e9veloppeur \u00e9tait finalement convaincu qu'il n'y avait en r\u00e9alit\u00e9 aucune vuln\u00e9rabilit\u00e9. \u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u043e\u0442\u0447\u0451\u0442\u044b \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0442 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u044f\u0437\u044b\u043a\u043e\u043c \u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438, \u043d\u043e \u0431\u0435\u0437 \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 \u0434\u0435\u043b\u0435 \u043c\u043e\u0433\u0443\u0442 \u043b\u0438\u0448\u044c \u0432\u0432\u043e\u0434\u0438\u0442\u044c \u0432 \u0437\u0430\u0431\u043b\u0443\u0436\u0434\u0435\u043d\u0438\u0435, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0449\u0438\u043c \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c. \u041f\u0440\u043e\u0435\u043a\u0442 Curl […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-112715","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Probl\u00e8mes caus\u00e9s par des rapports sur les vuln\u00e9rabilit\u00e9s pr\u00e9par\u00e9s par des outils AI | ProHoster","description":"Daniel Stenberg, l'auteur de l'outil curl pour r\u00e9cup\u00e9rer et envoyer des donn\u00e9es sur le r\u00e9seau, a critiqu\u00e9 l'utilisation d'outils AI dans la r\u00e9daction de rapports sur les vuln\u00e9rabilit\u00e9s.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 | ProHoster","og:description":"\u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-01-05T19:10:15+00:00","article:modified_time":"2024-01-05T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/112715","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=112715"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/112715\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=112715"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=112715"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=112715"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"