Daniel Stenberg, de auteur van de tool voor het verzenden en ontvangen van gegevens via het netwerk curl, heeft kritiek geuit op het gebruik van AI-tools bij het opstellen van rapporten over kwetsbaarheden. Dergelijke rapporten bevatten gedetailleerde informatie, zijn in duidelijke taal geschreven en lijken kwaliteitsvol, maar zonder grondige analyse kunnen ze in werkelijkheid slechts misleidend zijn, door echte problemen te vervangen door goed ogende, maar waardeloze inhoud. <\/p>\n
Het Curl-project biedt beloningen voor het opsporen van nieuwe kwetsbaarheden en heeft al 415 rapporten over potenti\u00eble problemen ontvangen, waarvan er slechts 64 zijn bevestigd als kwetsbaarheden en 77 als niet-veiligheidsgerelateerde fouten. Dit betekent dat 66% van alle rapporten geen nuttige informatie bevatten en alleen tijd van ontwikkelaars hebben gekost die beter aan nuttige taken besteed had kunnen worden. <\/p>\n
Ontwikkelaars worden gedwongen veel tijd te verspillen aan het analyseren van nutteloze rapporten en moeten de daarin vermelde informatie soms meerdere keren controleren, omdat de externe kwaliteit van de presentatie extra vertrouwen in de informatie wekt en de indruk ontstaat dat de ontwikkelaar iets verkeerd heeft begrepen. Aan de andere kant vereist het opstellen van een dergelijk rapport minimale inspanning van de indiener, die zich niet vermoeit met het controleren op een werkelijk probleem, maar gewoon klakkeloos gegevens kopieert die zijn verkregen van AI-assistenten, in de hoop geluk te hebben in de strijd om de beloning te krijgen. <\/p>\n
Er worden twee voorbeelden gegeven van dergelijke waardeloze rapporten. Een dag v\u00f3\u00f3r de geplande bekendmaking van gegevens over de oktobervulnerability (CVE-2023-38545) werd er via Hackerone een rapport verzonden over het feit dat de patch met de oplossing openbaar was gemaakt. In werkelijkheid bevatte het rapport een door de AI-assistent Google Bard samengestelde mix van feiten over soortgelijke problemen en fragmenten van gedetailleerde informatie over eerdere kwetsbaarheden. Uiteindelijk leek de informatie nieuw en actueel, maar had het geen binding met de werkelijkheid. <\/p>\n
Het tweede voorbeeld betreft een melding over een buffer overflow in de WebSocket-handler, ontvangen op 28 december, gestuurd door een gebruiker die al verschillende projecten via Hackerone op de hoogte had gesteld van kwetsbaarheden. Als methode voor het reproduceren van het probleem werd in het rapport algemene informatie gegeven over het verzenden van een aangepast verzoek met een waarde die de grootte van de buffer overschrijdt, die wordt gebruikt bij het kopi\u00ebren met behulp van strcpy. Het rapport bevatte ook een voorbeeld van een oplossing (de vervanging van strcpy door strncpy) en verwees naar de regel code \u00abstrcpy(keyval, randstr)\u00bb, waar volgens de indiener een fout in zat. <\/p>\n
De ontwikkelaar heeft alles drie keer gecontroleerd en geen problemen gevonden, maar aangezien het rapport zelfverzekerd was geschreven en zelfs een oplossing bevatte, ontstond het gevoel dat er ergens iets over het hoofd werd gezien. Een poging om te verduidelijken hoe de onderzoeker de expliciete controle van de grootte v\u00f3\u00f3r de aanroep van strcpy kon omzeilen, en hoe de buffer keyval kleiner bleek te zijn dan de gelezen gegevens, resulteerde in gedetailleerde, maar niet-informatieve uitleg die alleen de algemene redenen voor buffer-overflows behandelde, niet gerelateerd aan de specifieke Curl-code. De antwoorden leken op communicatie met een AI-assistent en nadat de ontwikkelaar een halve dag had besteed aan zinloze pogingen om te achterhalen hoe het probleem zich precies manifesteert, was hij er volledig van overtuigd dat er in werkelijkheid geen kwetsbaarheid bestond. \u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u043e\u0442\u0447\u0451\u0442\u044b \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0442 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u044f\u0437\u044b\u043a\u043e\u043c \u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438, \u043d\u043e \u0431\u0435\u0437 \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 \u0434\u0435\u043b\u0435 \u043c\u043e\u0433\u0443\u0442 \u043b\u0438\u0448\u044c \u0432\u0432\u043e\u0434\u0438\u0442\u044c \u0432 \u0437\u0430\u0431\u043b\u0443\u0436\u0434\u0435\u043d\u0438\u0435, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0449\u0438\u043c \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c. \u041f\u0440\u043e\u0435\u043a\u0442 Curl […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-112715","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Problemen door rapporten over kwetsbaarheden voorbereid door AI-tools | ProHoster","description":"Daniel Stenberg, de auteur van de tool voor het verzenden en ontvangen van gegevens over het netwerk curl, heeft zijn kritiek geuit op het gebruik van AI-tools bij het opstellen van rapporten over kwetsbaarheden.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 | ProHoster","og:description":"\u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-01-05T19:10:15+00:00","article:modified_time":"2024-01-05T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/112715","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=112715"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/112715\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=112715"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=112715"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=112715"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"