Na de release van de update van het synchronisatiehulpmiddel rsync 3.4.3, die zes kwetsbaarheden verhelpt, zijn er regressies opgemerkt die de functionaliteit van eerder gebruikte configuraties verstoren. Daarnaast heeft onbegrip en onvrede geleid tot de toevoeging van ongeveer 50 wijzigingen in de rsync-repositories, voorbereid met behulp van het AI-model Claude, in de afgelopen twee weken. Sommige gebruikers hebben de regressies in verband gebracht met de generatie van lage kwaliteit kwetsbaarheidsfixes door AI.
Enkele van de regressies in rsync 3.4.3:
- Er trad een fout op bij de opdracht voor incrementele back-ups die meerdere opties āācompare-destā bevatte;
- Is
Het is niet mogelijk om rsync te compileren op systemen met Linux-kernels ouder dan versie 5.6 vanwege het gebruik van de systeemaanroep openat2 (commit 1, commit 2); - Het formaat āhost::module/padā werkt niet meer (commit).
- Opdrachten die de optie
āādelete-missing-argsā samen met āāfiles-fromā gebruikten, werden niet meer herkend (commit). - Bij het synchroniseren worden fouten gemeld over het waarde modtime_nsec dat buiten het toegestane bereik valt.
- De compilatie werkte niet meer op oudere versies van macOS.
- Het gedrag van de optie āālink-destā is veranderd (commit).
- Er traden storingen op bij het starten in de terminal multiplexer tmux.
Andrew Tridgell, de oprichter van de projecten samba en rsync, die twee jaar geleden terugkeerde naar de ondersteuning van rsync en problematische commits toevoegde, publiceerde een notitie met een uitleg van de situatie. Volgens Andrew is het rsync-project geconfronteerd met een stortvloed aan meldingen van kwetsbaarheden, waarvan vele door AI zijn gegenereerd. In de release van rsync 3.4.3 zijn de regressies de prijs geworden voor het verhelpen van kwetsbaarheden. Andrew heeft er bewust voor gekozen om kwetsbaarheden te verhelpen, ook al konden de fixes sommige zeldzame, maar correcte gebruiksscenario's van rsync verstoren. Dergelijke scenario's werden niet gedekt door de oude testset en handmatige controles, waardoor de regressies onopgemerkt zijn gebleven en in de volgende release 3.4.4 zullen worden verholpen.
De ontstane situatie heeft Andrew ertoe aangezet om de testset te moderniseren, code coverage-controle in te voeren en testautomatisering binnen een continue integratiesysteem op verschillende platformen te implementeren, evenals een analyse van potentiƫle kwetsbaarheden uit te voeren. Aangezien Andrew bijna 60 jaar oud is en liever met een yacht reist in plaats van zijn tijd te besteden aan het verhelpen van kwetsbaarheden in rsync, besloot hij AI-assistenten in te schakelen om routinematige taken uit te voeren te midden van de overvloed aan meldingen over kwetsbaarheden. Andrew ontwikkelde de architectuur, het controleplan en de structuur van de nieuwe testset, waarna hij deze met behulp van AI genereerde in Python en de eerder gebruikte test shell-script verving. Bij de ontwikkeling werd het Claude-model gebruikt met handmatige controle van de resultaten en kruiscontrole in Codex en Gemini.
Bron: opennet.ru
