បញ្ហាដោយសាររបាយការណ៍ភាពងាយរងគ្រោះដែលរៀបចំដោយឧបករណ៍ AI

Daniel Stenberg អ្នកនិពន្ធឧបករណ៍ប្រើប្រាស់សម្រាប់ការទទួល និងបញ្ជូនទិន្នន័យលើបណ្តាញ curl បានរិះគន់ការប្រើប្រាស់ឧបករណ៍ AI នៅពេលបង្កើតរបាយការណ៍ភាពងាយរងគ្រោះ។ របាយការណ៍បែបនេះរួមបញ្ចូលព័ត៌មានលម្អិត ត្រូវបានសរសេរជាភាសាធម្មតា និងមើលទៅមានគុណភាពខ្ពស់ ប៉ុន្តែដោយគ្មានការវិភាគប្រកបដោយការគិតគូរពីការពិត ពួកគេអាចគ្រាន់តែជាការបំភាន់ ដោយជំនួសបញ្ហាពិតជាមួយនឹងមាតិកាសំរាមដែលមើលទៅមានគុណភាពខ្ពស់។

គម្រោង Curl ផ្តល់រង្វាន់សម្រាប់ការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះថ្មី ហើយបានទទួលរបាយការណ៍ចំនួន 415 រួចហើយអំពីបញ្ហាដែលអាចកើតមាន ដែលក្នុងនោះមានតែ 64 ប៉ុណ្ណោះដែលត្រូវបានបញ្ជាក់ថាជាភាពងាយរងគ្រោះ និង 77 ជាកំហុសដែលមិនមានសុវត្ថិភាព។ ដូច្នេះ 66% នៃរបាយការណ៍ទាំងអស់មិនមានព័ត៌មានដែលមានប្រយោជន៍ទេ ហើយគ្រាន់តែចំណាយពេលវេលាពីអ្នកអភិវឌ្ឍន៍ដែលអាចចំណាយលើអ្វីដែលមានប្រយោជន៍។

អ្នកអភិវឌ្ឍន៍ត្រូវបានបង្ខំឱ្យខ្ជះខ្ជាយពេលវេលាច្រើនក្នុងការវិភាគរបាយការណ៍ដែលគ្មានប្រយោជន៍ និងពិនិត្យមើលព័ត៌មានដែលមាននៅទីនោះច្រើនដង ដោយសារគុណភាពខាងក្រៅនៃការរចនាបង្កើតទំនុកចិត្តបន្ថែមលើព័ត៌មាន ហើយមានអារម្មណ៍ថាអ្នកអភិវឌ្ឍន៍យល់ខុសអ្វីមួយ។ ម៉្យាងវិញទៀត ការបង្កើតរបាយការណ៍បែបនេះ ទាមទារការខិតខំប្រឹងប្រែងតិចតួចបំផុតពីអ្នកដាក់ពាក្យ ដែលមិនរំខានក្នុងការពិនិត្យរកបញ្ហាពិតនោះទេ ប៉ុន្តែគ្រាន់តែចម្លងទិន្នន័យដែលទទួលបានពីជំនួយការ AI ដោយងងឹតងងុល ដោយសង្ឃឹមថានឹងមានសំណាងក្នុងការតស៊ូដើម្បីទទួលបានរង្វាន់។

ឧទាហរណ៍ពីរនៃរបាយការណ៍សំរាមបែបនេះត្រូវបានផ្តល់ឱ្យ។ មួយថ្ងៃមុនការគ្រោងបញ្ចេញព័ត៌មានអំពីភាពងាយរងគ្រោះក្នុងខែតុលាដ៏គ្រោះថ្នាក់ (CVE-2023-38545) របាយការណ៍មួយត្រូវបានផ្ញើតាមរយៈ Hackerone ថាបំណះជាមួយនឹងការជួសជុលបានក្លាយទៅជាសាធារណៈ។ ជាការពិត របាយការណ៍នេះមានលាយឡំនៃការពិតអំពីបញ្ហាស្រដៀងគ្នា និងផ្នែកតូចៗនៃព័ត៌មានលំអិតអំពីភាពងាយរងគ្រោះពីមុន ដែលចងក្រងដោយ Bard ជំនួយការ AI របស់ Google ។ ជាលទ្ធផល ព័ត៌មានមើលទៅថ្មី និងពាក់ព័ន្ធ ហើយមិនមានទំនាក់ទំនងជាមួយការពិតទេ។

ឧទាហរណ៍ទីពីរទាក់ទងនឹងសារដែលបានទទួលនៅថ្ងៃទី 28 ខែធ្នូ អំពីការផ្ទុកលើសចំណុះនៅក្នុង WebSocket handler ដែលផ្ញើដោយអ្នកប្រើប្រាស់ដែលបានជូនដំណឹងអំពីគម្រោងផ្សេងៗរួចហើយអំពីភាពងាយរងគ្រោះតាមរយៈ Hackerone ។ ជាវិធីសាស្រ្តនៃការផលិតបញ្ហាឡើងវិញ របាយការណ៍បានរួមបញ្ចូលពាក្យទូទៅអំពីការឆ្លងកាត់សំណើដែលបានកែប្រែជាមួយនឹងតម្លៃធំជាងទំហំនៃសតិបណ្ដោះអាសន្នដែលបានប្រើនៅពេលចម្លងជាមួយ strcpy ។ របាយការណ៍ក៏បានផ្តល់នូវឧទាហរណ៍នៃការកែតម្រូវមួយ (ឧទាហរណ៍នៃការជំនួស strcpy ជាមួយ strncpy) និងបានចង្អុលបង្ហាញតំណភ្ជាប់ទៅកាន់បន្ទាត់នៃកូដ “strcpy(keyval, randstr)” ដែលយោងទៅតាមអ្នកស្នើសុំមានកំហុស។

អ្នកអភិវឌ្ឍន៍បានពិនិត្យអ្វីៗគ្រប់យ៉ាងបីដងហើយមិនឃើញមានបញ្ហាអ្វីទេ ប៉ុន្តែដោយសាររបាយការណ៍ត្រូវបានសរសេរដោយទំនុកចិត្ត ហើយថែមទាំងមានការកែតម្រូវ មានអារម្មណ៍ថាមានអ្វីមួយបាត់នៅកន្លែងណាមួយ។ ការប៉ុនប៉ងដើម្បីបញ្ជាក់ពីរបៀបដែលអ្នកស្រាវជ្រាវបានគ្រប់គ្រងដើម្បីរំលងការត្រួតពិនិត្យទំហំច្បាស់លាស់ដែលមានវត្តមានមុនពេលការហៅ strcpy និងរបៀបដែលទំហំនៃសតិបណ្ដោះអាសន្ន keyval ប្រែទៅជាតិចជាងទំហំនៃទិន្នន័យដែលបានអាននាំឱ្យលម្អិត ប៉ុន្តែមិនយកព័ត៌មានបន្ថែម ការពន្យល់ ដែលគ្រាន់តែទំពារលើមូលហេតុទូទៅជាក់ស្តែងនៃការហៀរសំបោរដែលមិនទាក់ទងនឹងកូដ Curl ជាក់លាក់។ ចម្លើយគឺនឹកឃើញពីការទំនាក់ទំនងជាមួយជំនួយការ AI ហើយបន្ទាប់ពីចំណាយពេលកន្លះថ្ងៃលើការព្យាយាមគ្មានន័យដើម្បីរកឱ្យឃើញច្បាស់ពីរបៀបដែលបញ្ហាបង្ហាញដោយខ្លួនឯង ទីបំផុតអ្នកអភិវឌ្ឍន៍ត្រូវបានគេជឿជាក់ថា តាមពិតមិនមានភាពងាយរងគ្រោះនោះទេ។

ប្រភព: opennet.ru