AI ਟੂਲਸ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੀ ਗਈ ਕਮਜ਼ੋਰੀ ਦੀਆਂ ਰਿਪੋਰਟਾਂ ਕਾਰਨ ਸਮੱਸਿਆਵਾਂ

ਡੈਨੀਅਲ ਸਟੇਨਬਰਗ, ਨੈਟਵਰਕ ਕਰਲ ਉੱਤੇ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਭੇਜਣ ਲਈ ਇੱਕ ਉਪਯੋਗਤਾ ਦੇ ਲੇਖਕ, ਨੇ ਕਮਜ਼ੋਰੀ ਰਿਪੋਰਟਾਂ ਬਣਾਉਣ ਵੇਲੇ ਏਆਈ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਦੀ ਆਲੋਚਨਾ ਕੀਤੀ। ਅਜਿਹੀਆਂ ਰਿਪੋਰਟਾਂ ਵਿੱਚ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ, ਆਮ ਭਾਸ਼ਾ ਵਿੱਚ ਲਿਖੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਉੱਚ-ਗੁਣਵੱਤਾ ਦਿਖਾਈ ਦਿੰਦੀਆਂ ਹਨ, ਪਰ ਅਸਲ ਵਿੱਚ ਸੋਚ-ਸਮਝ ਕੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤੇ ਬਿਨਾਂ ਉਹ ਸਿਰਫ ਗੁੰਮਰਾਹਕੁੰਨ ਹੋ ਸਕਦੀਆਂ ਹਨ, ਅਸਲ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਗੁਣਵੱਤਾ-ਦਿੱਖ ਵਾਲੀ ਕੂੜਾ ਸਮੱਗਰੀ ਨਾਲ ਬਦਲਦੀਆਂ ਹਨ।

Curl ਪ੍ਰੋਜੈਕਟ ਨਵੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇਨਾਮਾਂ ਦਾ ਭੁਗਤਾਨ ਕਰਦਾ ਹੈ ਅਤੇ ਪਹਿਲਾਂ ਹੀ ਸੰਭਾਵੀ ਸਮੱਸਿਆਵਾਂ ਦੀਆਂ 415 ਰਿਪੋਰਟਾਂ ਪ੍ਰਾਪਤ ਕਰ ਚੁੱਕੀਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ 64 ਨੂੰ ਕਮਜ਼ੋਰੀਆਂ ਵਜੋਂ ਅਤੇ 77 ਨੂੰ ਗੈਰ-ਸੁਰੱਖਿਆ ਬੱਗ ਵਜੋਂ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਸੀ। ਇਸ ਤਰ੍ਹਾਂ, ਸਾਰੀਆਂ ਰਿਪੋਰਟਾਂ ਵਿੱਚੋਂ 66% ਵਿੱਚ ਕੋਈ ਲਾਭਦਾਇਕ ਜਾਣਕਾਰੀ ਨਹੀਂ ਸੀ ਅਤੇ ਸਿਰਫ ਡਿਵੈਲਪਰਾਂ ਤੋਂ ਸਮਾਂ ਕੱਢਿਆ ਗਿਆ ਸੀ ਜੋ ਕਿਸੇ ਉਪਯੋਗੀ ਚੀਜ਼ 'ਤੇ ਖਰਚ ਕੀਤਾ ਜਾ ਸਕਦਾ ਸੀ।

ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਬੇਕਾਰ ਰਿਪੋਰਟਾਂ ਨੂੰ ਪਾਰਸ ਕਰਨ ਅਤੇ ਉੱਥੇ ਮੌਜੂਦ ਜਾਣਕਾਰੀ ਦੀ ਕਈ ਵਾਰ ਦੋ ਵਾਰ ਜਾਂਚ ਕਰਨ ਲਈ ਬਹੁਤ ਸਾਰਾ ਸਮਾਂ ਬਰਬਾਦ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਡਿਜ਼ਾਈਨ ਦੀ ਬਾਹਰੀ ਗੁਣਵੱਤਾ ਜਾਣਕਾਰੀ ਵਿੱਚ ਵਾਧੂ ਵਿਸ਼ਵਾਸ ਪੈਦਾ ਕਰਦੀ ਹੈ ਅਤੇ ਇਹ ਮਹਿਸੂਸ ਹੁੰਦਾ ਹੈ ਕਿ ਡਿਵੈਲਪਰ ਨੂੰ ਕੁਝ ਗਲਤ ਸਮਝਿਆ ਗਿਆ ਹੈ। ਦੂਜੇ ਪਾਸੇ, ਅਜਿਹੀ ਰਿਪੋਰਟ ਤਿਆਰ ਕਰਨ ਲਈ ਬਿਨੈਕਾਰ ਤੋਂ ਘੱਟੋ-ਘੱਟ ਮਿਹਨਤ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜੋ ਅਸਲ ਸਮੱਸਿਆ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਖੇਚਲ ਨਹੀਂ ਕਰਦਾ, ਪਰ ਇਨਾਮ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸੰਘਰਸ਼ ਵਿੱਚ ਕਿਸਮਤ ਦੀ ਉਮੀਦ ਕਰਦੇ ਹੋਏ, AI ਸਹਾਇਕਾਂ ਤੋਂ ਪ੍ਰਾਪਤ ਕੀਤੇ ਡੇਟਾ ਦੀ ਅੰਨ੍ਹੇਵਾਹ ਨਕਲ ਕਰਦਾ ਹੈ।

ਅਜਿਹੀਆਂ ਕੂੜੇ ਦੀਆਂ ਰਿਪੋਰਟਾਂ ਦੀਆਂ ਦੋ ਉਦਾਹਰਣਾਂ ਦਿੱਤੀਆਂ ਗਈਆਂ ਹਨ। ਖਤਰਨਾਕ ਅਕਤੂਬਰ ਦੀ ਕਮਜ਼ੋਰੀ (CVE-2023-38545) ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਯੋਜਨਾਬੱਧ ਖੁਲਾਸੇ ਤੋਂ ਇਕ ਦਿਨ ਪਹਿਲਾਂ, ਹੈਕਰੋਨ ਦੁਆਰਾ ਇੱਕ ਰਿਪੋਰਟ ਭੇਜੀ ਗਈ ਸੀ ਕਿ ਫਿਕਸ ਵਾਲਾ ਪੈਚ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਹੋ ਗਿਆ ਸੀ। ਵਾਸਤਵ ਵਿੱਚ, ਰਿਪੋਰਟ ਵਿੱਚ Google ਦੇ AI ਸਹਾਇਕ ਬਾਰਡ ਦੁਆਰਾ ਸੰਕਲਿਤ ਪਿਛਲੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਦੇ ਸਮਾਨ ਸਮੱਸਿਆਵਾਂ ਅਤੇ ਸਨਿੱਪਟ ਬਾਰੇ ਤੱਥਾਂ ਦਾ ਮਿਸ਼ਰਣ ਸ਼ਾਮਲ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਜਾਣਕਾਰੀ ਨਵੀਂ ਅਤੇ ਢੁਕਵੀਂ ਲੱਗਦੀ ਸੀ, ਅਤੇ ਅਸਲੀਅਤ ਨਾਲ ਇਸਦਾ ਕੋਈ ਸਬੰਧ ਨਹੀਂ ਸੀ।

ਦੂਜੀ ਉਦਾਹਰਨ 28 ਦਸੰਬਰ ਨੂੰ WebSocket ਹੈਂਡਲਰ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਬਾਰੇ ਪ੍ਰਾਪਤ ਹੋਏ ਇੱਕ ਸੰਦੇਸ਼ ਨਾਲ ਸਬੰਧਤ ਹੈ, ਜੋ ਇੱਕ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਭੇਜਿਆ ਗਿਆ ਸੀ ਜਿਸ ਨੇ ਪਹਿਲਾਂ ਹੀ ਹੈਕਰੋਨ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਵੱਖ-ਵੱਖ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਸੂਚਿਤ ਕੀਤਾ ਸੀ। ਸਮੱਸਿਆ ਨੂੰ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰਨ ਦੇ ਇੱਕ ਢੰਗ ਵਜੋਂ, ਰਿਪੋਰਟ ਵਿੱਚ strcpy ਨਾਲ ਨਕਲ ਕਰਨ ਵੇਲੇ ਵਰਤੇ ਗਏ ਬਫਰ ਦੇ ਆਕਾਰ ਤੋਂ ਵੱਡੇ ਮੁੱਲ ਦੇ ਨਾਲ ਇੱਕ ਸੋਧੀ ਬੇਨਤੀ ਨੂੰ ਪਾਸ ਕਰਨ ਬਾਰੇ ਆਮ ਸ਼ਬਦ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ। ਰਿਪੋਰਟ ਵਿੱਚ ਇੱਕ ਸੁਧਾਰ ਦੀ ਇੱਕ ਉਦਾਹਰਨ ਵੀ ਦਿੱਤੀ ਗਈ ਹੈ (strcpy ਨੂੰ strncpy ਨਾਲ ਬਦਲਣ ਦੀ ਇੱਕ ਉਦਾਹਰਨ) ਅਤੇ ਕੋਡ ਦੀ ਲਾਈਨ "strcpy(keyval, randstr)" ਲਈ ਇੱਕ ਲਿੰਕ ਦਾ ਸੰਕੇਤ ਦਿੱਤਾ ਹੈ, ਜਿਸ ਵਿੱਚ, ਬਿਨੈਕਾਰ ਦੇ ਅਨੁਸਾਰ, ਇੱਕ ਗਲਤੀ ਸੀ।

ਡਿਵੈਲਪਰ ਨੇ ਹਰ ਚੀਜ਼ ਨੂੰ ਤਿੰਨ ਵਾਰ ਦੋ ਵਾਰ ਜਾਂਚਿਆ ਅਤੇ ਕੋਈ ਸਮੱਸਿਆ ਨਹੀਂ ਮਿਲੀ, ਪਰ ਕਿਉਂਕਿ ਰਿਪੋਰਟ ਭਰੋਸੇ ਨਾਲ ਲਿਖੀ ਗਈ ਸੀ ਅਤੇ ਇੱਕ ਸੁਧਾਰ ਵੀ ਸ਼ਾਮਲ ਸੀ, ਅਜਿਹਾ ਮਹਿਸੂਸ ਹੋਇਆ ਕਿ ਕਿਤੇ ਕੁਝ ਗੁੰਮ ਹੈ। ਇਹ ਸਪੱਸ਼ਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਿ ਕਿਵੇਂ ਖੋਜਕਰਤਾ ਨੇ strcpy ਕਾਲ ਤੋਂ ਪਹਿਲਾਂ ਮੌਜੂਦ ਸਪੱਸ਼ਟ ਆਕਾਰ ਦੀ ਜਾਂਚ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਵਿੱਚ ਪ੍ਰਬੰਧਿਤ ਕੀਤਾ ਅਤੇ ਕਿਸ ਤਰ੍ਹਾਂ ਕੀਵਲ ਬਫਰ ਦਾ ਆਕਾਰ ਪੜ੍ਹੇ ਗਏ ਡੇਟਾ ਦੇ ਆਕਾਰ ਤੋਂ ਘੱਟ ਨਿਕਲਿਆ, ਜਿਸ ਨਾਲ ਵਿਸਤ੍ਰਿਤ, ਪਰ ਵਾਧੂ ਜਾਣਕਾਰੀ ਨਹੀਂ, ਸਪੱਸ਼ਟੀਕਰਨ ਦਿੱਤੇ ਗਏ। ਜੋ ਕਿ ਖਾਸ ਕਰਲ ਕੋਡ ਨਾਲ ਸੰਬੰਧਿਤ ਨਾ ਹੋਣ ਵਾਲੇ ਬਫਰ ਓਵਰਫਲੋ ਦੇ ਸਪੱਸ਼ਟ ਆਮ ਕਾਰਨਾਂ ਨੂੰ ਹੀ ਚਬਾਉਂਦਾ ਹੈ। ਜਵਾਬ ਇੱਕ AI ਸਹਾਇਕ ਨਾਲ ਸੰਚਾਰ ਕਰਨ ਦੀ ਯਾਦ ਦਿਵਾਉਂਦੇ ਸਨ, ਅਤੇ ਇਹ ਪਤਾ ਲਗਾਉਣ ਲਈ ਕਿ ਸਮੱਸਿਆ ਆਪਣੇ ਆਪ ਨੂੰ ਕਿਵੇਂ ਪ੍ਰਗਟ ਕਰਦੀ ਹੈ, ਵਿਅਰਥ ਕੋਸ਼ਿਸ਼ਾਂ 'ਤੇ ਅੱਧਾ ਦਿਨ ਬਿਤਾਉਣ ਤੋਂ ਬਾਅਦ, ਡਿਵੈਲਪਰ ਨੂੰ ਅੰਤ ਵਿੱਚ ਯਕੀਨ ਹੋ ਗਿਆ ਕਿ ਅਸਲ ਵਿੱਚ ਕੋਈ ਕਮਜ਼ੋਰੀ ਨਹੀਂ ਸੀ।

ਸਰੋਤ: opennet.ru