Theo de Raadt 在收到 AI 工具生成的错误漏洞报告后，重命名了 pfsync 数据包头中的一个字段。他将“pfcksum[PF_MD5_DIGEST_LENGTH]”字段重命名为“spare[16]”，因为 AI 模型误认为 pfcksum 名称表示该字段存储了数据包内容的哈希值或校验和，并且由于该字段未经验证，因此误认为代码存在漏洞。
Teo解释说，在pfsync开发的早期阶段，添加这个字段是为了存储规则集哈希值，以优化状态检查。这个想法最终被放弃了，但为了向后兼容，该字段被保留了下来，并且始终填充为零。在代码中，该字段仅在数据包结构中被引用，既不进行检查也不填充。
生成的AI报告声称存在漏洞，因为该字段在数据包发送时计算，但在接收时未进行验证。报告详细解释了问题的运行原理和来源，但实际上，这只是AI的臆想，完全基于代码中使用了“pfcksum”和“PF_MD5_DIGEST_LENGTH”这两个词而捏造出来的。使用AI查找漏洞的人在提交漏洞报告之前，根本没有验证结果。
来源： opennet.ru
