Daniel Stenberg, autori i utilitaires për marrjen dhe dërgimin e të dhënave në rrjetin curl, kritikoi përdorimin e mjeteve AI në krijimin e raporteve për dobësitë. Këto raporte përmbajnë detaje të hollësishme, janë shkruar me një gjuhë normale dhe duken cilësore, por pa një analizë të thellë, në të vërtetë, mund vetëm të çojnë në keqkuptime, duke zëvendësuar problemet reale me përmbajtje që duket cilësore por është e pavlerë.
Projekti Curl ofron shpërblime për identifikimin e dobësive të reja dhe ka marrë tashmë 415 raporte për probleme të mundshme, prej të cilave vetëm 64 janë konfirmuar si dobësi, dhe 77 si gabime që nuk kanë lidhje me sigurinë. Kështu, 66% e të gjitha raporteve nuk përmbanin ndonjë informacion të dobishëm dhe vetëm i kanë marrë kohë zhvilluesve, e cila mund të ishte përdorur për diçka të dobishme.
Zhvilluesit janë të detyruar të humbasin shumë kohë duke analizuar raporte të pafrytshme dhe duke verifikuar informacionin e dhënë aty disa herë, pasi cilësia e jashtme e prezantimit krijon besim shtesë në informacion dhe krijon ndjenjën se zhvilluesi ka humbur ndonjë detaj. Nga ana tjetër, formimi i një raporti të tillë kërkon përpjekje minimale nga ankesuesi, i cili nuk bezdis vetën për të verifikuar nëse ka ndonjë problem real, por thjesht kopjon verbërisht të dhënat e marra nga ndihmësit AI, duke shpresuar për fatin në garën për të marrë shpërblimin.
Janë dhënë dy shembuj të raporteve të tilla të pavlera. Një ditë para shpalljes së planifikuar të informacionit mbi dobësinë e rrezikshme të tetorit (CVE-2023-38545) u dërgua një raport nëpërmjet Hackerone që thoshte se patch-i i riparimit ishte bërë i disponueshëm publik. Në të vërtetë, raporti përmbante një përzierje të faktorëve të ngjashëm dhe informacione të hollësishme për dobësitë e kaluara, të kompozuara nga ndihmësi AI, Google Bard. Në fund, informacioni dukej i ri dhe aktual, por nuk kishte lidhje me realitetin.
Shembulli i dytë ndërlidhet me një raport të marrë më 28 dhjetor rreth mbushjes së buferit në trajtuesin WebSocket, dërguar nga një përdorues që kishte informuar tashmë për dobësitë e ndryshme përmes Hackerone. Si metodë për të përsëritur problemin, raporti përmendte fjalë të përgjithshme për dërgimin e një kërkese të modifikuar me një vlerë që tejkalonte madhësinë e buferit që përdorej gjatë kopjimit me strcpy. Raporti gjithashtu përmbante një shembull korrigjimi (shembulli i zëvendësimit të strcpy me strncpy) dhe përmendte linjën e kodit "strcpy(keyval, randstr)", në të cilën sipas mendimit të ankesuesit kishte një gabim.
Zhvilluesi e kontrolloi gjithçka tri herë dhe nuk gjeti asnjë problem, por pasi raporti ishte shkruar me siguri dhe madje përmbante një korrigjim, erdhi një ndjenjë se diku diçka po i shkonte humbur. Përpjekja për të sqaruar se si hulumtuesi kishte arritur të kalonte kontrollin e madhësisë para thirrjes së strcpy dhe si madhësia e buferit keyval ishte më e vogël se madhësia e të dhënave të lexuara, çoi në marrëdhënie të detajuara, por të pa informacion shtesë, të cilat thjesht shpjegonin arsyet e zakonshme për mbushjen e buferit, të pa lidhura me kodin specifik të Curl. Përgjigjet i ngjanin dialogut me një ndihmës AI, dhe pas kalimit të gjysmës së ditës në përpjekjet e pafrytshme për të kuptuar se si manifestoheshin problemet, zhvilluesi përfundimisht u bind se nuk kishte ndonjë dobësi në të vërtetë.
Burimi: opennet.ru
