Daniel Stenberg, autor narz\u0119dzia do przesy\u0142ania i odbierania danych przez sie\u0107 curl, skrytykowa\u0142 wykorzystanie narz\u0119dzi AI do tworzenia raport\u00f3w o lukach w zabezpieczeniach. Takie raporty zawieraj\u0105 szczeg\u00f3\u0142owe informacje, s\u0105 napisane w normalnym j\u0119zyku i wygl\u0105daj\u0105 na wysokiej jako\u015bci, ale bez przemy\u015blanej analizy mog\u0105 wprowadza\u0107 w b\u0142\u0105d, zast\u0119puj\u0105c rzeczywiste problemy jako\u015bciowo wygl\u0105daj\u0105cym \u015bmieciowym materia\u0142em. <\/p>\n
Projekt Curl wyp\u0142aca nagrody za odkrywanie nowych luk i ju\u017c otrzyma\u0142 415 raport\u00f3w o potencjalnych problemach, z kt\u00f3rych jedynie 64 zosta\u0142y potwierdzone jako luki, a 77 jako b\u0142\u0119dy niezwi\u0105zane z bezpiecze\u0144stwem. W ten spos\u00f3b 66% wszystkich raport\u00f3w nie zawiera\u0142o \u017cadnych u\u017cytecznych informacji i tylko zabiera\u0142o czas programistom, kt\u00f3ry mogliby wykorzysta\u0107 na co\u015b po\u017cytecznego. <\/p>\n
Programi\u015bci zmuszeni s\u0105 marnowa\u0107 du\u017co czasu na analizowanie bezu\u017cytecznych raport\u00f3w i wielokrotne weryfikowanie podanych tam informacji, poniewa\u017c zewn\u0119trzna jako\u015b\u0107 ich wykonania buduje dodatkowe zaufanie do informacji i rodzi wra\u017cenie, \u017ce programista, co\u015b \u017ale zrozumia\u0142. Z drugiej strony, stworzenie takiego raportu wymaga minimalnego wysi\u0142ku ze strony zg\u0142aszaj\u0105cego, kt\u00f3ry nie zawraca sobie g\u0142owy weryfikacj\u0105 istnienia rzeczywistego problemu, a jedynie \u015blepo kopiuje dane otrzymane od asystent\u00f3w AI, licz\u0105c na szcz\u0119\u015bcie w walce o nagrod\u0119. <\/p>\n
Podano dwa przyk\u0142ady takich bezsensownych raport\u00f3w. Dzie\u0144 przed planowanym ujawnieniem informacji o pa\u017adziernikowej niebezpiecznej luce (CVE-2023-38545) przez Hackerone wys\u0142ano raport m\u00f3wi\u0105cy, \u017ce poprawka z rozwi\u0105zaniem zosta\u0142a udost\u0119pniona publicznie. W rzeczywisto\u015bci raport zawiera\u0142 skomponowan\u0105 przez asystenta AI Google Barda mieszank\u0119 fakt\u00f3w o podobnych problemach i fragment\u00f3w szczeg\u00f3\u0142owych informacji o wcze\u015bniejszych lukach. W rezultacie informacje wygl\u0105da\u0142y na nowe i aktualne, ale nie mia\u0142y zwi\u0105zku z rzeczywisto\u015bci\u0105. <\/p>\n
Drugi przyk\u0142ad dotyczy wiadomo\u015bci o przepe\u0142nieniu bufora, kt\u00f3ra zosta\u0142a otrzymana 28 grudnia w obs\u0142udze WebSocket, wys\u0142anej przez u\u017cytkownika, kt\u00f3ry ju\u017c informowa\u0142 o lukach w r\u00f3\u017cnych projektach przez Hackerone. Jako metod\u0119 powt\u00f3rzenia problemu w raporcie podano og\u00f3lne sformu\u0142owania dotycz\u0105ce wysy\u0142ania zmodyfikowanego \u017c\u0105dania z warto\u015bci\u0105, kt\u00f3ra przekracza rozmiar bufora u\u017cywanego podczas kopiowania za pomoc\u0105 strcpy. W raporcie podano r\u00f3wnie\u017c przyk\u0142ad poprawki (zmiana strcpy na strncpy) oraz wskazano linijk\u0119 kodu \"strcpy(keyval, randstr)\", w kt\u00f3rej zdaniem zg\u0142aszaj\u0105cego wyst\u0105pi\u0142 b\u0142\u0105d. <\/p>\n
Programista trzykrotnie wszystko sprawdzi\u0142 i nie znalaz\u0142 \u017cadnych problem\u00f3w, jednak poniewa\u017c raport by\u0142 napisany pewnie i zawiera\u0142 nawet poprawk\u0119, pojawi\u0142o si\u0119 wra\u017cenie, \u017ce co\u015b umyka. Pr\u00f3ba wyja\u015bnienia, jak badaczowi uda\u0142o si\u0119 obej\u015b\u0107 dost\u0119pn\u0105 przed wywo\u0142aniem strcpy wyra\u017an\u0105 kontrol\u0119 rozmiaru oraz jak rozmiar bufora keyval okaza\u0142 si\u0119 mniejszy od rozmiaru odczytanych danych, doprowadzi\u0142a do uzyskania szczeg\u00f3\u0142owych, ale nic nie wnosz\u0105cych wyja\u015bnie\u0144, kt\u00f3re tylko rozwodzi\u0142y si\u0119 nad oczywistymi, og\u00f3lnymi przyczynami wyst\u0119powania przepe\u0142nienia bufora, niezwi\u0105zanego z konkretnym kodem Curl. Odpowiedzi przypomina\u0142y rozmow\u0119 z asystentem AI i po sp\u0119dzeniu p\u00f3\u0142 dnia na bezsensownych pr\u00f3bach dowiedzenia si\u0119, jak dok\u0142adnie objawia si\u0119 problem, programista ca\u0142kowicie si\u0119 przekona\u0142, \u017ce tak naprawd\u0119 nie ma \u017cadnej podatno\u015bci. \u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u043e\u0442\u0447\u0451\u0442\u044b \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0442 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u044f\u0437\u044b\u043a\u043e\u043c \u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438, \u043d\u043e \u0431\u0435\u0437 \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0430 \u0434\u0435\u043b\u0435 \u043c\u043e\u0433\u0443\u0442 \u043b\u0438\u0448\u044c \u0432\u0432\u043e\u0434\u0438\u0442\u044c \u0432 \u0437\u0430\u0431\u043b\u0443\u0436\u0434\u0435\u043d\u0438\u0435, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0449\u0438\u043c \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c. \u041f\u0440\u043e\u0435\u043a\u0442 Curl […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-112715","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problemy zwi\u0105zane z raportami o podatno\u015bciach przygotowanymi przez narz\u0119dzia AI | ProHoster","description":"Daniel Stenberg, autor narz\u0119dzia do przesy\u0142ania i odbierania danych przez sie\u0107 curl, skrytykowa\u0142 u\u017cycie narz\u0119dzi AI do tworzenia raport\u00f3w o podatno\u015bciach.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0438\u0437-\u0437\u0430 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 | ProHoster","og:description":"\u0414\u044d\u043d\u0438\u0435\u043b C\u0442\u0435\u043d\u0431\u0435\u0440\u0433 (Daniel Stenberg), \u0430\u0432\u0442\u043e\u0440 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 curl, \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b \u0441 \u043a\u0440\u0438\u0442\u0438\u043a\u043e\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f AI-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/problemy-iz-za-podgotovlennyh-ai-instrumentami-otchyotov-ob-uyazvimostyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-01-05T19:10:15+00:00","article:modified_time":"2024-01-05T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/112715","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=112715"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/112715\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=112715"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=112715"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=112715"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"