Theo de Raadt átnevezte a pfsync csomag fejlécében található mezőt, miután egy AI-eszköz által generált hamis sebezhetőségi jelentést kapott. A „pfcksum[PF_MD5_DIGEST_LENGTH]” mezőt „spare[16]” névre keresztelték, mivel az AI-modell úgy vélte, hogy a pfcksum név a csomag tartalmának hash-ét vagy ellenőrző összegét tárolja, és mivel a mező nem volt ellenőrizve, sebezhetőséget sejtett a kódban.
Theo elmagyarázta, hogy a pfsync fejlesztésének korai szakaszában ezt a mezőt a szabálykészlet hash-ának tárolására adták hozzá, hogy optimalizálják az állapotellenőrzést. Végül elvetették ezt az ötletet, de a mezőt a visszafelé kompatibilitás megőrzése érdekében megőrizték, és mindig nullákkal volt kitöltve. A kódban ez a mező csak a csomag struktúrájában szerepelt, de nem volt ellenőrizve vagy kitöltve.
A generált AI-jelentés sebezhetőséget állapított meg, mivel a mezőt a csomag elküldésekor kiszámítják, de nem ellenőrzik a fogadáskor. A jelentés részletesen ismertette a működési elvet és a probléma forrását, de valójában ez egy AI-hallucináció volt, amely csupán a „pfcksum” és a „PF_MD5_DIGEST_LENGTH” kifejezések kódban való előfordulása alapján lett kitalálva. Az a személy, aki AI-t használt a sebezhetőség keresésére, nem fáradt el az eredmény ellenőrzésével a sebezhetőségi jelentés elküldése előtt.
Forrás: opennet.ru
