AI znalazła ponad tysiąc luk w Linuksie. Twórcy nie nadążają z naprawą

Chiński model językowy GLM-5.3 wykrył ponad tysiąc krytycznych luk bezpieczeństwa w jądrze Linuksa i innych projektach open source. Liczba zgłoszeń wzrosła z kilku tygodniowo do nawet dziesięciu dziennie, a Linus Torvalds przyznaje, że lista mailingowa security stała się nie do ogarnięcia.

[BlueBerryCaffe]

No i bardzo dobrze :)
Stress test jest zawsze najlepszy.
Krok dalej do zasypania okienkowego g0wna raz na zawsze.

[real_scoria]

@BlueBerryCaffe: no nie wiem, zaraz AI będzie to naprawiał i backdoory wstawiał.

[ostatni_lantianin]

@BlueBerryCaffe:

Krok dalej do zasypania okienkowego g0wna raz na zawsze.

w sumie ciekawe że mikromiękki się tak chwalił swoim AI a jakoś takiej rewolucji nie ma - albo jest gówniane, albo zamiast łatać luki/poprawiać wydajność pracuje nad większym wciskaniem telemetrii

[hellfirehe]

Jeszcze pytanie jakiego kalibru to są luki...
Bo ostatnio cały świat zawalony "AI review" i to co się w tych review dzieje to jest dopiero cyrk.

Vibe coding na pełnej - kod generowany przez AI, ma review zrobione przez AI, dev który sam nie wie co wrzucił przekleja pytania jednego LLM, drugiemu LLM-owi. Co sprytniejsi sobie robią skilla gdzie LLM-y dyskutują między sobą nad kropką w komentarzu.

Potem patrzysz co tam za

[KarmazynowyAstrofizyk]

@hellfirehe: w pełni się zgadzam, karmię AI kodem do embedded i raz potrafi stwierdzić, że jest 100% OK (nie trudno to zweryfikować dla kilkunastu krótkich funkcji, jeszcze wyłącznie na rejestrach), ale za godzinę o ten sam kod podnosi alarm, bo wymyśla, że np. jakiś tam zmienna się przepełni, pytam jaka - zaczyna analizować i po 3 ścianach tekstu kończy zwykle na: "teraz zwróć uwagę w tej linijce: w tym wypadku

[smk666]

Vibe coding na pełnej - kod generowany przez AI, ma review zrobione przez AI, dev który sam nie wie co wrzucił przekleja pytania jednego LLM, drugiemu LLM-owi. Co sprytniejsi sobie robią skilla gdzie LLM-y dyskutują między sobą nad kropką w komentarzu.

@hellfirehe:
Opisałeś w 100% pracę z moim p-----------m leadem, który zachłysnął się AI.

1. Dostaje wymagania od biznesu, otwiera solucję i każe copilotowi wygenerować task

[PanieAreczku]

@Tired_: zajebiste ( ͡° ͜ʖ ͡°)

[jeanpaul]

A szereg wizyt w Zusie w celu otrzymania ORZECZENIA?

@7502-6038: juz dawno zalatwione paroma agentami, ktore AI wypuscilo z piaskownicy.

[kradziejoshehe]

No tak wykupki beda chwalic ze to dobre jest i ze naprawiom, ale jakby o MS wyciekl taki artykul to byscie sie posrali na rzadko.

[pokpok]

@kradziejoshehe: typie, wypok i milion innych serwisów stoi na linuxie. Tak to jest najlepsze do wielu zastosowań.

[Opiochoinka]

@kradziejoshehe: MS nie lata systemu nawet jak ktos I’m daje exploit na telerzu, co spowodowalo juz multimilardowe straty.

[jagodowy_krol]

Znając Linusa , to już tworzy narzędzie które ogarnie ten chaos związany z tysiącami zgłoszeń :)

[jkrsmkr]

@jagodowy_krol: Oby

[P_i_o_t_R]

@jagodowy_krol: zaznacz wszystko, skasuj - to wymaga narzędzia ᕦ(òóˇ)ᕤ

[Manah]

Pytanie ile z tych luk jest prawdziwych. Niektóre projekty zamknęły programy bug bounty bo ludzie przysyłają wrzutki z AI o nieistniejących błędach.

[Krolik]

Problem jest taki że 99% usterek zgłaszanych przez AI to są false positives. Głównie generuje szum. Do tego raporty są często ścianą tekstu przez którą ciężko się przebić, w których jest masa rzeczy niepotrzebnych, odciągających uwagę. Często szybciej jest samodzielnie przeczytać kod i to zrozumieć niż czytać “podsumowanie” AI na 10 stron i zastanawiać się które rzeczy są prawdziwe a które zmyślone.

[Mukdaar]

Widać bardzo duzo osob nie czyta ze zrozumieniem.

To że jest tysiące zgłoszeń to nie znaczy że to są legitne dziury czy podatności.
Ogrom tych zgłoszeń jest albo trefna bo AI halucynowało, albo dotyczy funkcji kótre już zostały wycofane, albo starych wersji sterowników.
Do tego pull requesty masowo generowane przez AI są tak słabej jakości i w takiej ilości że nie da się tego już sensownie zarządzać.

Stąd ten naciągany artykuł z

[PepikPL]

Widać bardzo duzo osob nie czyta ze zrozumieniem.

@Mukdaar: Ani nigdy nie pracowało z AI, bo prawda jest taka, że w LLM-owe code review można się bawić w nieskończoność. Ile razy nie zapromptujesz, zawsze coś wytknie. Możesz poprosić o recenzję, dostać 10 uwag, poprawić je wszystkie, odpalić ponowne sprawdzenie po Twoich zmianach i dostać 12 kolejnych komentarzy do miejsc, których nie ruszałeś w tej rundzie. I tak aż do momentu

[Mukdaar]

@PepikPL: True

[hal0]

Na tym polega otwartość, znaleźli luki, dużo jak widać i będą łatać. Tak to powinno wyglądać. A ty szukaj w windowsie i dowiedz się że twoje kopiuj wklej trafiają do chmury jak się logowałeś przez konto microsoftu.

[LukaszSZCZ]

@hal0: Jeżeli nie otworzysz kodu, nikt nie znajdzie w nim błędów.

[armin-van-kutonger]

Tak się  kończy zostawianie niepotrzebnego kodu od nieużywanych funkcji, sterowników. Itp. Może ten spam znalezionych podatności będzie bodźcem do czyszczenia kodu.

[SCAInet]

@armin-van-kutonger: Zawsze mnie zastanawia dlaczego w Kernelu wydanym tydzień temu ciągle koniecznie zachowują kompatybilność ze sprzętem który przestali produkować 40 lat temu

@Morf: bo ten sprzęt sprzed 40 lat wciąż jest na chodzie

[dafto]

@Morf: to zwykle są dynamiczne moduły. Nawet się nie ładują, jak nie masz tego sprzętu.
Dodatkowo zawsze masz distro jak gentoo, gdzie wszystko masz skrojone tylko pod swój sprzęt