The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В OpenBSD переименовали поле в pfsync после ложного AI-отчёта об уязвимости

13.04.2026 21:09 (MSK)

Тэо де Раадт (Theo de Raadt) переименовал название поля в заголовке пакета pfsync после поступления ложного отчёта об уязвимости, сгенерированного AI-инструментами. Поле "pfcksum[PF_MD5_DIGEST_LENGTH]" переименовано в "spare[16]", так как AI-модель полагала, что имя pfcksum свидетельствует о хранении в поле хэша или контрольной суммы содержимого пакета и, так как поле не проверялось, считала, что в коде есть уязвимость.

Тэо пояснил, что на раннем этапе разработки pfsync указанное поле было добавлено для хранения хэша набора правил с целью оптимизации проверки состояния. В конечном счёте от этой идеи отказались, но поле было оставлено для сохранения обратной совместимости и всегда оставалось заполненным нулями. В коде данное поле лишь упоминалось в структуре пакета, но не проверялось и не заполнялось.

В сгенерированном AI-отчёте утверждалось о наличии уязвимости, так как поле вычисляется при отправке пакета, но не проверяется при получении. В отчёте детально пояснялся принцип работы и источник проблемы, но на деле - это было AI-галлюцинацией, выдуманной лишь на основании использования в коде слов "pfcksum" и "PF_MD5_DIGEST_LENGTH". Человек, использовавший AI для поиска уязвимости, не потрудился проверить результат перед отправкой отчёта об уязвимости.

  1. Главная ссылка к новости (https://undeadly.org/cgi?actio...)
  2. OpenNews: Интервью с Грегом Кроа-Хартманом о созданных через AI отчётах об ошибках
  3. OpenNews: Сопровождающие Godot перегружены из-за обилия сомнительных изменений, созданных с помощью AI
  4. OpenNews: Защита от мусорных AI-изменений на GitHub. Оценка влияния вайб-кодинга на экосистему открытого ПО
  5. OpenNews: LLVM ввёл правила применения AI-инструментов. Curl и Node.js ограничат выплаты за уязвимости из-за AI
  6. OpenNews: Представлен Gixy-Next, форк Gixy-ng, избавленный от изменений, сгенерированных через AI
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65196-ai
Ключевые слова: ai, openbsd
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (25) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 21:24, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Но мне же рассказывали, что сейчас бредогенератор найдёт миллионы уязвимостей!
     
     
  • 2.2, Werwolf (ok), 21:28, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +9 +/
    так он и нашёл, но есть нюанс)))
     
     
  • 3.7, Аноним (7), 22:08, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    вчера попросил AI найти и составить список из 10 книг по интересующему меня вопросу. Из 10 книг 5ть книг не существуют. Спрашиваю как так, ответ AI: ну вы просили я взял типичные названия таких книг и фамилии авторов и сгенерил)))

     
     
  • 4.9, Werwolf (ok), 22:10, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > вчера попросил AI найти и составить список из 10 книг по интересующему
    > меня вопросу. Из 10 книг 5ть книг не существуют. Спрашиваю как
    > так, ответ AI: ну вы просили я взял типичные названия таких
    > книг и фамилии авторов и сгенерил)))

    не хочется повторяться.. но очень уж сюжа подходит:
    задача то выполнена, но есть нюанс)))

    бывают ситуации кстати забавные, мне чатгопота порекомендовала несуществующую утилиту, а спустя пол года такая утилита всё же появилась, правда с другими флагами и на другом ЯП, но задачу выполняет нужную

     
     
  • 5.23, нах. (?), 22:48, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > бывают ситуации кстати забавные, мне чатгопота порекомендовала несуществующую утилиту, а
    > спустя пол года такая утилита всё же появилась

    кому-то пришло в голову сказать ей "раз придумала - давай вайбкодь!"

     
  • 4.17, Аноним (17), 22:38, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > попросил AI найти и составить список из 10 книг

    Для ИИ без разницы, рисовать зелёного мамонта или список книг.

     
  • 2.6, Аноним (6), 22:06, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Недавние десятки дыр залатанных в огнелисе разве не доказательство того что ИИ таки могет их находить?
     
     
  • 3.14, Аноним (14), 22:27, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А сколько галлюцинаций было разобрано и отброшено, прежде чем эти десятки были отобраны и приняты в работу?
     
  • 3.15, Аноним (17), 22:30, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    залатывали - чем? Этим же ИИ? И он подтвердил факт залатывания?
     
     
  • 4.20, нах. (?), 22:41, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    чувак, ЫЫ умеет потдвердить факт незалатывания - созданием рабочего эксплойта.
     
  • 2.19, нах. (?), 22:41, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    чувак, есть тонкое отличие между mythos и deepthroat или как там оно называется.

    Первое - не просто находит, а подтверждает сгенеренными эксплойтами. (настолько удачно, что в Штатах собрали руководство крупных банков и ключевых компаний чтобы потыкать индусов носами в новости - они ж как правило феноменально т-пы и платить не будут пока их не взломают и на лингаме не повертят)

    А второе вот...

    Сегодня пол-дня переругивался с всp@тым вторым чтоб он перестал мне бредить и поправил паверщельную команду (я где-то неудачно дернул рукой при копипасте, и потерял кусок между двух строк). Нет, самому разбираться в этом ужасе было бы дольше и совершенно бестолку (в смысле мне ноль пользы от тех знаний которые я бы при этом приобрел)

    Вместо того чтоб просто дополнить оборванные строки все еще содержавшие все нужные детали, оно мне "изобрело" четыре несуществующих скриптлета и одну несуществующую в языке By design проблему - причем после уже хрен знает какого по счету указания перестать врать и заняться делом.

    Да, можно было просто включить ноут с sonnet и получить ответ сразу, за деньги, но он разряжен, в него не скопипастишь просто так кусок кода из закрытой сети, и т д.

    И честно говоря от ТАКОЙ т-пизны ЫЫ я изрядно уже отвык. Просто потому что давно не пользовался в бытовых целях бесплатным дерьмом.

     
     
  • 3.26, Аноним (26), 23:13, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    DeepSeek, он же дикпuк
    Попробуйте https://z.ai (не реклама)
    3 место в лидерборде на текущий момент: https://arena.ai/leaderboard/code
     

  • 1.3, Аноним10084 и 1008465039 (?), 21:29, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    А всё ж побудил переименовать, странно что не отклонили
     
     
  • 2.5, Аноним (5), 22:05, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Это.
    только хуже сделали, ща налетит орда
     
  • 2.8, Аноним (8), 22:08, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Иногда полезно публично зафиксировать чью-то тупость. В назидание потомкам.
     
     
  • 3.10, Аноним (10), 22:14, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Вы про "на раннем этапе разработки pfsync указанное поле было добавлено для хранения хэша набора правил с целью оптимизации проверки состояния. В конечном счёте от этой идеи отказались"?
    Ну так оно вроде и так зафиксировано было.
     
     
  • 4.22, Аноним (8), 22:47, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Этого от токенов отключить, а то повторяется и галлюцинирует.
     
  • 3.21, нах. (?), 22:43, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    вот и надо было - зафиксировать. И потом даже не ыы а вполне детерменированным скриптом с грепом реджектить все подобные pr'ы и банить учетки с которых они приходят.

    Но видимо у Тео настолько уже плохо с pr'ами что он готов прогибаться под глюки ЫЫ.

     

  • 1.12, Аноним (14), 22:23, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > всегда оставалось заполненным нулями
    > поле вычисляется при отправке пакета

    Так всё-таки заполнялось нулями или вычислялось?
    И зачем что-то переименовывать, когда можно просто отправить вайб-аудитора подальше?

     
     
  • 2.18, rm1 (?), 22:40, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > И зачем что-то переименовывать, когда можно просто отправить вайб-аудитора подальше?

    Потому что бардак, когда что-то называется не в соответствии со своим предназначением.
    Давайте сделаем где-нибудь простейший цикл от 1 до 10, а переменную цикла вместо обычной i назовём как-нибудь типа этого же packet_checksum. Нормально?
    Так что AI хоть и не уязвимость нашёл, но обратил внимание на косяк в коде, хорошо что исправили.

     

  • 1.16, нах. (?), 22:32, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Вот тоже непойму. НАХРЕНА?! (не, ну в целом конечно неиспользуемое поле должно называться reserved, но если на него ТАК ловятся вайб-мамкины-ресерчеры увизгвимостей - я бы просто оставил как есть)

     
  • 1.24, Tron is Whistling (?), 23:04, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не потрудившегося проверить - в банлист, код не менять.
     
  • 1.25, Аноним (25), 23:10, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А если там чексум просто передаётся ? Я знаю, что это контрольная сумма, но это не моя сумма и я могу быть даже не в курсе как её считать.. это не мой зуб, это его зуб. всё ? уязвимастъ ?
     
  • 1.27, Аноним83 (?), 23:15, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Люди уже поделились на тех кто:
    - слава роботам!
    - слава роботам что они такие тупые, постоянно приходится за ними проверять и переделывать.

    ИИ интересно как ускоритель поиска и генерации PoC, но это примерно как найти в гугле уже готовый ответ или пример кода.
    На практике приходится проверять и переделывать.
    Ускоряет работу в принципе, особенно для тех кому трудно начинать с чистого листа но легко и комфортно править существующее.


    Недавно искал функцию одну которая копирует память наоборот.
    Гемени сгенерил пример.
    Одна только проблема: он бы падал на всяких не х86 и притормаживал на х86.
    Но как начальный PoC неплохо, сильно быстрее чем перебирать 100500 ссылок.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру