Dopo il rilascio dell'aggiornamento dell'utilità di sincronizzazione dei file rsync 3.4.3, che ha corretto 6 vulnerabilità, si sono riscontrate delle regressioni che compromettono il funzionamento delle configurazioni precedentemente utilizzate. Inoltre, la comprensione e l'insoddisfazione sono state sollevate dall'aggiunta di circa 50 modifiche nei repository di rsync nelle ultime due settimane, preparate utilizzando il modello AI Claude. Alcuni utenti hanno messo in relazione l'emergere delle regressioni con la generazione di correzioni di vulnerabilità di bassa qualità tramite AI.
Alcune delle regressioni in rsync 3.4.3:
- Terminate con errore i comandi per la creazione incrementale di backup, in cui erano specificate più opzioni «—compare-dest»;
- Diventato
Impossibile compilare rsync su sistemi con kernel Linux precedenti alla versione 5.6 a causa dell'uso della chiamata di sistema openat2 (commit 1, commit 2); - Il formato «host::modulo/percorso» ha smesso di funzionare (commit).
- Non vengono più accettati i comandi che utilizzano l'opzione
«—delete-missing-args» insieme a «—files-from» (commit). - Durante la sincronizzazione, vengono restituiti errori riguardo il valore modtime_nsec fuori dall'intervallo consentito.
- La compilazione è risultata compromessa su versioni obsolete di macOS.
- Il comportamento dell'opzione «—link-dest» è cambiato (commit).
- Si sono verificati problemi durante l'avvio nel multiplexore di terminali tmux.
Andrew Tridgell, fondatore dei progetti samba e rsync, è tornato due anni fa a gestire rsync e ha aggiunto commit problematici, pubblicando una nota che spiega la situazione attuale. Secondo Andrew, il progetto rsync ha affrontato un'ondata di segnalazioni di vulnerabilità, molte delle quali generate tramite AI. Nella versione rsync 3.4.3, l'emergere di regressioni è stato il prezzo da pagare per risolvere le vulnerabilità. Andrew ha scelto consapevolmente di correggere le vulnerabilità, nonostante le correzioni potessero compromettere alcuni scenari d'uso rari ma corretti di rsync. Tali scenari non erano coperti dal vecchio set di test e dalle verifiche manuali, quindi le regressioni sono rimaste inosservate e saranno risolte nella prossima versione 3.4.4.
La situazione emersa ha spinto Andrew a modernizzare il suo set di test, implementare il controllo di copertura del codice e realizzare il testing all'interno di un sistema di integrazione continua su diverse piattaforme, oltre a condurre un'analisi delle potenziali vulnerabilità. Poiché Andrew ha quasi 60 anni e preferirebbe viaggiare in barca a vela piuttosto che perdere tempo a risolvere le vulnerabilità in rsync, ha deciso di coinvolgere assistenti AI per gestire compiti di routine in mezzo a un'improvvisa ondata di segnalazioni di vulnerabilità. Andrew ha sviluppato l'architettura, il piano di verifica e la struttura del nuovo set di test, dopodiché, con l'aiuto dell'AI, lo ha generato in Python, sostituendo lo script shell utilizzato in precedenza. Per lo sviluppo è stato impiegato il modello Claude con una verifica manuale dei risultati e un controllo incrociato in Codex e Gemini.
Fonte: opennet.ru
