The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"AI-модель Claude Mythos не продемонстрировала особых достижений при поиске уязвимостей в Curl"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"AI-модель Claude Mythos не продемонстрировала особых достижений при поиске уязвимостей в Curl"  +/
Сообщение от opennews (??), 12-Май-26, 13:28 
Дэниел Cтенберг (Daniel Stenberg), автор утилиты для получения и отправки данных по сети curl, подвёл итог применения AI-модели Claude Mythos для анализа уязвимостей в кодовой базе Curl. По мнению Дэниела, анонсированные компанией Anthropic прорывные возможности AI-модели Claude Mythos в области поиска уязвимостей, из-за которых компания ограничила доступ к модели, являются скорее маркетинговым приувеличением, так как при проверке кода Curl модель не показала существенных преимуществ по сравнению с AI-продуктами от других производителей...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=65428

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 12-Май-26, 13:28   +29 +/
У меня появляется смутная надежда, что ИИ таки улучшит качество кода. Разгребет 100500 багов на которые все давно плюнули. Пару лет поколбасит, а потом - браузер что не течет, не падает и не тормозит. Ось в которой все просто работает. Документы что открываются везде и всюда в одном и том же виде. Прикладухи что делают то что от них ожидается и так как от них ожидается. И тут я проснулся.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #27, #44, #46, #70, #73, #80, #90

2. Сообщение от 12yoexpert (ok), 12-Май-26, 13:30   +7 +/
> У меня появляется смутная надежда

ты попался на удочку маркетологов

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6, #11, #13, #22, #30, #38

3. Сообщение от Аноним (3), 12-Май-26, 13:33   +2 +/
> По мнению Дэниела, анонсированные компанией Anthropic прорывные возможности AI-модели Claude Mythos в области поиска уязвимостей [...] являются скорее маркетинговым приувеличением, так как при проверке кода Curl модель не показала существенных преимуществ по сравнению с AI-продуктами от других производителей.

Эмм... А то, что в Curl просто мало уязвимостей - это Дэниэл не допускает? Ну, типа, большинство из них уже раньше закрыли.

Или здравый смысл не работает, когда речь идет о ИИ?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #45, #64, #66, #78

4. Сообщение от Аноним (60), 12-Май-26, 13:36   +4 +/
>что позволило исправить 200-300 ошибок

Маркетинг такой маркетинг. Так 200 или 300?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21, #59, #121

5. Сообщение от Хру (?), 12-Май-26, 13:42   +5 +/
Так что же получается - культура разработки на Си - возможна??? И дело значить не в кривом языке, а в немотивированных программистах, хреновой алгоритмической подготовке и нежелании пользоваться современными инструментами?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #31, #34

6. Сообщение от НяшМяш (ok), 12-Май-26, 13:43   +1 +/
Маркетологи врут в том, что уже сейчас всё идеально и можно пользоваться везде. Но в реальности прогресс инструментов очевиден. Какой-то год назад вот эти все чатгопоты даже в интернете искать не умели, потом их научили искать бред. А сейчас ему можно задать вполне конкретный вопрос, он понимает из какой области и идёт искать ответ. Я вот таким образом неожиданно узнал, что у майкрософтовского SSTP есть спецификация - на невинный вопрос как это устроено он пошёл сходил прямо в спеку и вывалил мне тонну интересной инфы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #91, #94, #111

7. Сообщение от Аноним (7), 12-Май-26, 13:44   +11 +/
Та ладно! Он же сишник и пишет libcurl/curl на Си. Как так нет уязвимостей, если софт написан на Си? Или когда адвокат вайбкодеров пытается объяснить почему Claude ничего не смог, то можно и сишников назвать хорошими программистами?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #12, #18, #26, #28

9. Сообщение от Аноним (3), 12-Май-26, 13:46   +/
> Си
> пользоваться современными инструментами

Это взаимоисключающие понятия.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #10

10. Сообщение от Хру (?), 12-Май-26, 13:48   +/
Эт почему? Нельзя в 2026 году написать современный инструмент на С89? :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #14, #37

11. Сообщение от Аноним (11), 12-Май-26, 13:49   +2 +/
> не продемонстрировала особых достижений

Просто фичи курла пока актуальны и их не требуется открывать и исправлять.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

12. Сообщение от Аноним (3), 12-Май-26, 13:50   +4 +/
> Он же сишник и пишет libcurl/curl на Си. Как так нет уязвимостей, если софт написан на Си?

Так он как бы и сам не это намекает, не? Он же не говорит "Claude не нашел дыр потому, что у нас их нет". Он говорит "Claude не нашел дыр, потому что он слабенький".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #74

13. Сообщение от Аноним (11), 12-Май-26, 13:50   –1 +/
> не продемонстрировала особых достижений

Функции CURL-а пока актуальны и их не требуется пока выявлять.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

14. Сообщение от Аноним (3), 12-Май-26, 13:53   +1 +/
> Эт почему?

Это потому, что посмотри на год его создания и, самое главное, как сильно он с тех пор развился.

> Нельзя в 2026 году написать современный инструмент на С89? :)

Ты говорил о "пользоваться". Написать-то и на brainfuck можно при желании.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #25, #35

15. Сообщение от q (ok), 12-Май-26, 13:53   +5 +/
Тысячи глаз на протяжение десятилетий: находили уязвимости в curl.
Аффтар curl: исправлял, вылизывал код на протяжение десятилетий.

Claude Mythos: находит еще одну уязвимость, которую тысячи глаз проморгали.
Аффтар curl: "Чет как-то не впечатлился... Это все обман чтобы набрать классы..."

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #42

17. Сообщение от Аноним (17), 12-Май-26, 13:55   +/
Доступ к модели GPT-5.5-Cyber предоставляется только исследователям безопасности после выборочного одобрения заявок.

Хм.. поиграются с уязвимостями предлагают только своим :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #83, #107, #116

18. Сообщение от Аноним (3), 12-Май-26, 14:01   +2 +/
> когда адвокат вайбкодеров пытается объяснить почему Claude ничего не смог,

Чел, почему Claude "не смог", объясняется прямым текстом в статье. Они на протяжении месяцев натравливали другие ИИ и в целом закрыли 60 дыр за год. А ПОСЛЕ запустили Claude и обнаружили, что он почти ничего не нашел! Абсолютно никакой логической и временной связи между этими двумя событиями Дэниэл, очевидно, не видит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

20. Сообщение от Аноним (3), 12-Май-26, 14:05   +/
> Аффтар curl: "Чет как-то не впечатлился... Это все обман чтобы набрать классы..."

В англоязычных инетах тоже выпали с этой логики автора Curl. Похоже, у некоторых людей здравый смысл просто отключается, когда речь заходит об ИИ.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #36, #72

21. Сообщение от Аноним (3), 12-Май-26, 14:08   +/
>> что позволило исправить 200-300 ошибок
> Так 200 или 300?

А это и не важно. Главное, что ПОСЛЕ этого Claude ничего не нашел - а значит, по логике автора Curl, он ни на что не годен.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #53

22. Сообщение от Аноним (22), 12-Май-26, 14:12    Скрыто ботом-модератором+2 +/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

25. Сообщение от Аноним на удаленкеemail (?), 12-Май-26, 14:16   +/
Ну на 89 действительно исчезающе мало пишут. Но вот 99 стандарт в ходу. У нашего щаказчика был развернут матлаб для проверки кода в CI/CD. Жесткие кросревью и ревью менеджера в конце перед мержем. Ну и когда ты говоришь инструментам матлаба что бы он код проверял на соответствие MISRA и своего внутреннего стандарта кодирования, то у тебя не выйдет написать что-то так просто глючное. Ошибки кроются уже на уровне архитектуры, ТЗ и соответствию ТЗ. Ну и когда у тебя автотесты должны 100% покрыть код как по требованиям так и по ветвлениям с проверкой граничных условий и различных хитрых вариантов входных данных... . В общем хороший продукт получается. Дорого правда шо пипец. Но кроме Си там ничего не получается тспольщовать. Поэтому что имеем... Ну и от того ПО зависят жизни людей... Так что за ценой не постоим так сказать. Так что можно писать крутой быстрый и безопасный кол. Проще просто сказать что это вот говно и не трогай его. А почему? Да оно говно из 70х годов и все. Так проще )))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

26. Сообщение от Аноним (26), 12-Май-26, 14:30   +1 +/
>> А то, что в Curl просто мало уязвимостей - это Дэниэл не допускает?
> Или когда адвокат вайбкодеров пытается объяснить почему Claude ничего не смог, то можно и сишников назвать хорошими программистами?

Ты ведь совсем не уловил посыла того комментария, не так ли?

Тебе же риторическим вопросом "А то, что в Curl просто мало уязвимостей - это Дэниэл не допускает?" сказано, что даже сам автор curl не допускает, что в его коде нет дыр.

Я хз, где ты там увидел, чтобы сишников называли "хорошими программистами".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

27. Сообщение от Bob (??), 12-Май-26, 14:30   +/
в Firefox так и сделали, curl и так вылизан
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

28. Сообщение от Bob (??), 12-Май-26, 14:31   +1 +/
Так вылизали уже почти полностью.

Это же не код рыжего браузере перелопачивать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

29. Сообщение от Тудасюда (?), 12-Май-26, 14:36   +/
Так это же хорошо. Хватит кормить ленивых зажравшихся программистов, которые ни за что не несут ответственность, "яйца лижут" и имитируют бурную деятельность, переставляя бесчисленное количество раз кнопочки. Особенно это полезно в области СПО, где вообще на все "болтыЛОЖИЛИ".
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32

30. Сообщение от 3yoexpert (?), 12-Май-26, 14:50   +/
По-крайней мере, истинно то, что только люди не дочитывают сообщения до конца, прежде чем отвечать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

31. Сообщение от Аноним (60), 12-Май-26, 14:50   –2 +/
>Так что же получается - культура разработки на Си - возможна???

Нет, не получается.
>и нежелании пользоваться современными инструментами?

Да, например rust-ом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #81, #86

32. Сообщение от Аноним (11), 12-Май-26, 14:51   +/
> Хватит кормить ленивых зажравшихся программистов

Теперь они создают ИИ и кушают ещё больше. Обещая, что вот-вот - и наступит рай.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #99

34. Сообщение от Аноним (60), 12-Май-26, 14:57   +/
>Так что же получается - культура разработки на Си - возможна???

Не понимаю, как у вас это может уживаться с этим
>Ручная проверка показала, что только одна из 5 проблем приводит к уязвимости
>из которых 12 были уязвимостями
>Всего в этом году в Curl было выявлено около 60 уязвимостей

Код кишит уязвимостями, а вы про культуру разработки вещаете.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #39

35. Сообщение от Sm0ke85 (ok), 12-Май-26, 14:58   –3 +/
>Это потому, что посмотри на год его создания и, самое главное, как сильно он с тех пор развился.

Ну и что я там должен увидеть, чего быть не должно???? Ты там один в комнате...?)))

>Ты говорил о "пользоваться". Написать-то и на brainfuck можно при желании.

Ты б мысль развил, а не в буквах различия искал, прям интересно на твой винегрет в голове глянуть... ахахах))))

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #41, #51

36. Сообщение от Аноним (36), 12-Май-26, 15:00   +1 +/
> Похоже, у некоторых людей здравый смысл просто отключается, когда речь заходит об ИИ.

Здравый смысл потерян уже на этой строчке "Тысячи глаз на протяжение десятилетий: находили уязвимости в curl.", нет никаких "тыща глаз", нету бл*ть, нетууууу!!!!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

37. Сообщение от Аноним (60), 12-Май-26, 15:21   –1 +/
>Нельзя в 2026 году написать современный инструмент на С89? :)

Можно и на ассемблере, разрешаю. Будете?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #71

38. Сообщение от pashev.ru (?), 12-Май-26, 15:32   +/
И забыл теоремы Гёделя )
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

39. Сообщение от Хру (?), 12-Май-26, 15:33   +/
Может уживаться! Вот список CVE за все годы, на который ссылается Дэниел: https://curl.se/docs/security.html

Последний High severity - https://curl.se/docs/CVE-2023-38545.html
И еще один UAF в 2026 как Medium: https://curl.se/docs/CVE-2026-3805.html и пара overread и integer overflow в сторонних либах.

175 тысяч строк кода - это одна сторона медали. Вторая сторона - следование чертовски запутанным спекам IETF которые и читать-то - боль.

А вот в 2026 году основной источник проблем - это уже не тривиализированные проблемы языка а таки логические ошибки.

А так - кишит, конечно... Но вот какой язык защищает от логических ошибок? Гонки еще отлавливать статически можно через callpath graphing, но ежу понятно что ллмки делают это лучше. Они для этого спроектированы - отлавливать паттерны во входном потоке.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #40, #50, #89

40. Сообщение от Аноним (60), 12-Май-26, 15:44   +/
>А вот в 2026 году основной источник проблем - это уже не тривиализированные проблемы языка а таки логические ошибки.

И вот классический пример такой ошибки, которая спокойно находится типами https://habr.com/ru/articles/522208/
>Но вот какой язык защищает от логических ошибок?

Зачем вы задаёте вопрос, если всё равно в следующей теме будете задавать его повторно? ATS. Idris, Lean 4 вам крайне в этом помогут.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #55

41. Сообщение от Аноним (60), 12-Май-26, 15:46   +/
>Ну и что я там должен увидеть, чего быть не должно?

А что вы там увидите? Хотя-бы алгебраические типы увидите? Или опять будете UB при разыменновывании нулевого указателя получать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #92

42. Сообщение от Аноним (42), 12-Май-26, 15:46   +1 +/
>находит еще одну уязвимость, которую тысячи глаз проморгали.

Начнём с того, что этой "тысячи глаз" никогда не было. Никто не проводил аудит кода. И ещё вопрос, как ты запоёшь, когда после ИИ начнут находить уязвимости?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #43, #49

43. Сообщение от q (ok), 12-Май-26, 16:02   +/
Никак не запою, ибо ИИ нередко допускает ошибки. Но важнее то, что он свои же ошибки уже может замечать прямо в процессе генерации ответа ("Wait...") -- и это без режима thinking. Я этого не наблюдал каких-то год или два назад. А вообще, очевидно, будущее за архитектурами, где одна модель генерирует ответ, а вторая его проверяет — никто не заявляет, что ИИ должен ограничиваться ровно одним вызовом ровно одной модели.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #54, #65, #87

44. Сообщение от тоже Анонимemail (ok), 12-Май-26, 16:16   +/
> ИИ таки улучшит качество кода

ИИ в теме новости сейчас занят тем, что ищет каверны в сваях. О которых жильцы домов ни разу в жизни не слышали, и исправление проблем заметить просто физически не смогут.

К работе программ через задницу, неоптимальным алгоритмам, просто кривым рукам и особым взглядам создателей на порядок работы, неумению в интерфейсы, профайлинг etc - короче, к тем проблемам, которые собственно, портят кровушку юзеру, все эти победоносные ИИ-конвейеры никакого отношения не имеют.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

45. Сообщение от тоже Анонимemail (ok), 12-Май-26, 16:20   +1 +/
> Или здравый смысл не работает, когда речь идет о ИИ?

Видимо, нет, раз возникают такие вопросы.
Новый ИИ разрекламировали, как прорыв и качественно лучший инструмент, чем те, что были.
Дэниел проверил именно после тех, что были - никакого прорыва не обнаружил, только об этом и пишет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #47

46. Сообщение от Аноним (46), 12-Май-26, 16:23   +/
ИИ может улучшить качество кода. Но только если менеджеры и директора этого захотят. А они не захотят. Иначе они бы уже сейчас выделяли время на повышение качества и зрелости продукта (хрен с ним с кодом). Мало мозгов, мало денег, много васьков, которые за счет своего здоровья не позволяют этому качеству рухнуть ниже уровня базовой работоспособности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #63, #112

47. Сообщение от Аноним (47), 12-Май-26, 16:25   –1 +/
> Дэниел проверил именно после тех, что были - никакого прорыва не обнаружил, только об этом и пишет.

Вот именно, что после.

Какой "прорыв" он ожидал после того, как (цитата) "за последние 8-10 месяцев код Curl проверялся при помощи AI-сервисов AISLE, Zeropath и OpenAI Codex Security, что позволило исправить 200-300 ошибок, из которых 12 были уязвимостями"?

Л - логика.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #52

48. Сообщение от Сладкая булочка (?), 12-Май-26, 16:27   –1 +/
Ну вот, чтд. Более-менее нормальный код и не шмогла. Давайте еще проверок замутите, сделайте блог аналог PVS, где будете выкладывать проверку открытых проектов.
Ответить | Правка | Наверх | Cообщить модератору

49. Сообщение от Аноним (47), 12-Май-26, 16:28   +/
> Начнём с того, что этой "тысячи глаз" никогда не было. Никто не проводил аудит кода

Как при этом на протяжении десятков лет в curl находились и закрывались CVE - загадка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #67, #77

50. Сообщение от Аноним (50), 12-Май-26, 16:34   +/
>Но вот какой язык защищает от логических ошибок?

Практика исправления ошибок на си и хаскеле защищает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

51. Сообщение от Аноним (47), 12-Май-26, 16:35   +/
>> Это потому, что посмотри на год его создания и, самое главное, как сильно он с тех пор развился.
> Ну и что я там должен увидеть, чего быть не должно????

Например, практически полное отсутствие  развития по сравнению с 70-ми годами.

> Ты там один в комнате...?)))
> твой винегрет в голове глянуть...
> ахахах))))

Бедняжка пытается в ad hominem. 🥲

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #85, #93

52. Сообщение от тоже Анонимemail (ok), 12-Май-26, 16:37   +1 +/
> Какой "прорыв" он ожидал

См. новость: "анонсированные компанией Anthropic прорывные возможности AI-модели Claude Mythos в области поиска уязвимостей".
Ребята били себя пяткой в грудь, что их ИИ не просто ищет уязвимости, а прям сильно лучше всех ищет уязвимости. Проверка на практике показала, что никакого "сильно лучше" не случилось.


Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #60, #62

53. Сообщение от тоже Анонимemail (ok), 12-Май-26, 16:38   –1 +/
> значит, по логике автора Curl, он ни на что не годен.

Врать не надо по интернету. Передергивать не надо по интернету...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

54. Сообщение от Аноним (7), 12-Май-26, 16:40   +2 +/
Что-то на вайбкодерском.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

55. Сообщение от Хру (?), 12-Май-26, 16:49   +/
Вы меня с каким-то другим комментатором путаете :) Я только в этой теме (зачем-то) решил пообщаться. И рад, что попал на умного человека.

Про формальную верификацию знаю конечно, а вот как Lean используется в программировании?
Он же вроде для доказательства теорем. Поделитесь опытом?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #57, #61

56. Сообщение от Аноним (-), 12-Май-26, 16:50   +/
> при проверке кода Curl модель не показала существенных преимуществ по сравнению с AI-продуктами от других производителей.

А он юморист. Сложно найти то - чего нет. Ибо он так то security aware и сажает довольно мало багов. Так что гамнюк жирно потроллил AI агентов - прося их найти то не знаю что, подя туда не знаю куда :). Логично что они справляются не очень хорошо, все вместе.

Вот если вы на код рубистов из GitLab их бы напустили, там можно было бы посчитать уже кто лучше :))

Ответить | Правка | Наверх | Cообщить модератору

57. Сообщение от Хру (?), 12-Май-26, 16:52   +/
И насчет статьи с Хабра - вот не далее как в начале месяца пробежала дырка в андроидовом adbd, как раз не учитывавшая что -1 != 0 .
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

58. Сообщение от Аноним (58), 12-Май-26, 16:54   +2 +/
Знаете, лет так 5-10 назад было модно прогонять код опесоурсных проектов через новый статический анализатор и радостно показывать, сколько ошибок найдено.

Ну так вот, придумали ещё один статический анализатор. Можно сказать, реально полезная вещь получилась.

Правда, есть одно но: подозреваю, что нынешний ИИ конечно нашёл какое-то количество багов, но точно так же, как классический статический анализатор работающий по правилам и эвристикам - отсутствие замечаний от него вовсе не означает, что ошибок в коде нет.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #68, #79

59. Сообщение от Аноним (59), 12-Май-26, 17:17   –1 +/
200 - fatal error
300 - recoverable error
а еще бывают нестрое..., т.е. ошибки не исходном коде
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #114

60. Сообщение от Аноним (60), 12-Май-26, 17:23   +/
Пока что практика показывает, что новый инструмент находит ещё какую-то не замеченную предыдущими, уязвимость. И никакого полного устранения всех уязвимостей за раз пока не видно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

61. Сообщение от Аноним (60), 12-Май-26, 17:26   +/
>а вот как Lean используется в программировании?

https://lean-lang.org/functional_programming_in_lean/

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

62. Сообщение от Аноним (3), 12-Май-26, 17:32   +1 +/
> Ребята били себя пяткой в грудь, что их ИИ не просто ищет уязвимости, а прям сильно лучше всех ищет уязвимости. Проверка на практике показала, что никакого "сильно лучше" не случилось.

Чтобы найти уязвимости "слильно лучше", прежде всего нужно чтобы эти уязвимости существовали (в т.ч. оставшиеся после проверок предыдущими ИИ).

Но автор curl даже не допускает, что у них не нет уязвимостей.

Что непонятного?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

63. Сообщение от penetrator (?), 12-Май-26, 18:19   +1 +/
глобально он ничего не улучшит, это как статический анализатор, берешь одной фирмы находит одни ошибки, берешь другой - найдет еще парочку, так и с моделями, найдет что-то с другого ракурса, и потому эффективность снизится до минимума
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #110

64. Сообщение от Мемоним (?), 12-Май-26, 18:21   +/
> Анализ 176 тысяч строк кода Curl

На такой небольшой кодобазе нашли "200-300" ошибок только за последние месяцы. Ему бы молчать тихонько в тряпочку, а не иронизировать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

65. Сообщение от Аноним (65), 12-Май-26, 18:45   +/
> Но важнее то, что он свои же ошибки уже может замечать прямо в процессе генерации ответа ("Wait...") -- и это без режима thinking

Хороший способ ИЗОБРАЗИТЬ, как ты крут. Даже в обучение зашили.

Это лютый здец!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #69

66. Сообщение от нах. (?), 12-Май-26, 18:55   +1 +/
в смысле "мало"? 300 штук найденные за предыдущие 10 месяцев как он сам признает - это немало для cli утилитки и ее библиотеки.

Просто их нашли другие модели, к которым все желающий получили доступ раньше. Вероятно, потратив сильно больше ресурсов и времени кожанных на анализ результатов, чем потратила бы специализированная.

Т.е. единственный вывод который можно было бы сделать - мир не рухнет если открыть доступ к mythos всем желающим - те кто были заинтересованы в исправлении багов, их и так уже исправили, те кто были заинтересованы в поиске - и так найдут, ну а гуанокода не жаль.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

67. Сообщение от нах. (?), 12-Май-26, 18:57   +/
ну например сильно меньше чем тыщами. Несколькими десятками. Штук.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

68. Сообщение от Аноним (68), 12-Май-26, 18:59   +/
> Ну так вот, придумали ещё один статический анализатор

Скорее вероятностный, где вероятности не только в определении уязвимостей, а вообще везде

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

69. Сообщение от q (ok), 12-Май-26, 19:19   –1 +/
В обучение зашили идею, что в случае ошибки нужно внезапно нарушить естественный ход мысли и вывести correction. Умение хорошее, не у каждого человека есть такое в прошивке. Интересно, можешь ли ты написать коммент, в начале которого ты утверждаешь что-то ложное, а в конце признаешь ошибку? Или ты так до самого конца и будешь держаться за свои заблуждения из гордости?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #98, #100

70. Сообщение от Аноним (70), 12-Май-26, 19:26   +/
Ты несомненно прав в одном, мой дорогой друг! Всё будет в точности как ты написал, но только наоборот!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

71. Сообщение от Аноним (71), 12-Май-26, 19:48   +2 +/
Будем и на ассемблере. Даже в современном мире в некоторых местах требуется применять ассемлер.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

72. Сообщение от Bottle (?), 12-Май-26, 20:40   +/
Логика такова, что он — Президент, правда, не отдельной державы, а целой Европейской Академии Открытого Программного Обеспечения (ЕАОПО). Он получает госфинансирование от Евросоюза за то, что вымучивает свою недоделку годами, а теперь уважаемые господа из Антропика могут убрать этого грантоеда раз и навсегда. Вот он и волнуется за будущее, своё, правда.
https://europeanopensource.academy/about/academy-members
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #75

73. Сообщение от Аноним (73), 12-Май-26, 20:44   +/
и игровые приставки без взлома. обратной стороной монеты
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

74. Сообщение от Витюшка (?), 12-Май-26, 21:04   –1 +/
Не так. Он говорит что Claude ничего не нашёл потому что все ошибки нашли уже другие ИИ модели. А Claude не настолько прорывная по сравнению с ними, вот ничего и не нашла. Исправленные 200-300 ошибок как бы намекают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #76

75. Сообщение от Аноним (7), 12-Май-26, 21:18   +1 +/
Эту недоделку использует почти весь софт, которому надо http/https (в том числе асинхронно, в том числе через epoll).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72

76. Сообщение от Аноним (3), 12-Май-26, 21:27   +/
> Он говорит что Claude ничего не нашёл потому что все ошибки нашли уже другие ИИ модели. А Claude не настолько прорывная по сравнению с ними, вот ничего и не нашла.

У тебя два тупо противоречащих дуг другу предложения. Что ты хотел сказать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74

77. Сообщение от Аноним (77), 12-Май-26, 22:27   +/
>Как при этом на протяжении десятков лет в curl находились и закрывались CVE - загадка.

А это парочка энтузиастов, который делают это по фану в свободное от работы время.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

78. Сообщение от Аноним (78), 12-Май-26, 22:34   +1 +/
>Эмм... А то, что в Curl просто мало уязвимостей - это Дэниэл не допускает?

Надо было новость озаглавить -"Деды наносят ответный удар!"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

79. Сообщение от Аноним (79), 13-Май-26, 00:37   +2 +/
Анализатор и ИИ не доказывают правильность работы программы. Они вообще не знают как правильно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

80. Сообщение от Джон Титор (ok), 13-Май-26, 01:08   +/
> браузер что не течет, не падает и не тормозит. Ось в которой все просто работает. Документы что открываются везде и всюда в одном и том же виде

И куча безработных

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #113

81. Сообщение от Аноним (81), 13-Май-26, 01:12   +/
dust-ом
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

82. Сообщение от Ebeneezer Goode (?), 13-Май-26, 01:44   +5 +/
Ради прикола взял модуль на примерно 300 строк Python кода. Ошибок нет 100%, код написан вручную и вылизан за десятилетия. Opus 4.6 нашел с десяток ошибок. Окей, говорю пофикси (сделав клон репы). Фиксит. Файл разрастается до 1600 строк. Прогоняю ещё раз - снофа куча ошибок. Снова фиксит. Файл растет до 2000 строк. Снова опять открываю новую сессию и прогоняю. Снова куча ошибок. Файл разрастается до 4000 строк (!!!). И тут я подумал, ну его нафиг, ваше это ИИ :) П.с. ошибки были в большинстве своём отсутствие проверок, где они нафиг не нужны, потому что by design невозможны (это как проверять что вода - мокрая).
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #101, #109

83. Сообщение от Ebeneezer Goode (?), 13-Май-26, 01:51   +2 +/
> GPT-5.5-Cyber

Это обычная GPT-5.5 Pro с увеличенной Chain-of-thought (CoT). Причина не в "тайных знаниях" и "илитарности". Причина в сверхневероятном потреблении ресурсов. Потому что современные ИИ модели упёрлись в плато нынешнего технологического витка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

85. Сообщение от _ (??), 13-Май-26, 03:46   +/
> ad hominem

ещё один думает слова значения которых не знает!(С)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

86. Сообщение от _ (??), 13-Май-26, 03:51   +/
>>и нежелании пользоваться современными инструментами?
>Да, например rust-ом.

Ну и где же он в curl-e?
Нетути?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

87. Сообщение от _ (??), 13-Май-26, 03:52   +/
> Никак не запою

Как говорят Челябинские джентельмены: "что ж ты фраер сдал назад!?"(С)

:)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

89. Сообщение от Аноним (89), 13-Май-26, 04:05   +/
> Но вот какой язык защищает от логических ошибок?

Я вот всё никак в толк не возьму, как вы все там различаете "логические" ошибки и "не логические"? Если я ошибся в расчёте индекса, это разве не логическая ошибка? Или если у меня тут гирлянда ветвлений висит, и один из путей не инициализирует переменную, но я после гирлянды полагаюсь, что переменная инициализирована. Это разве не ошибка логики? Если я недоверенные данные полученные извне передаю в функцию, доверяющую данным, то это разве не логическая ошибка?

Если так посмотреть, то все ошибки логические. Не, ну есть ещё ошибки синтаксические, но мы их не считаем, компилятор просто не компилирует, пока ты их не исправишь. Ты можешь привести пару примеров не-логических ошибок? Желательно с пояснениями, почему они не-логические?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

90. Сообщение от Ebeneezer Goode (?), 13-Май-26, 04:58   –1 +/
> У меня появляется смутная надежда, что ИИ таки улучшит качество кода.

Нет. ИИ добавит слопа. Рады будут производители железа, когда твой прошлогодний i9 начтёт тормозить словно корадуба из 2010. Шутки про клиент-серверные хеллоуворлды на 1000 строк уже не такие уж и шутки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

91. Сообщение от Ebeneezer Goode (?), 13-Май-26, 04:59   –2 +/
> Я вот таким образом неожиданно узнал, что у майкрософтовского SSTP

Ты бы лучше узнал как в цирк устроиться работать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

92. Сообщение от Sm0ke85 (ok), 13-Май-26, 07:13   +/
>А что вы там увидите? Хотя-бы алгебраические типы увидите? Или опять будете UB при разыменновывании нулевого указателя получать?

Глупости...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #95

93. Сообщение от Sm0ke85 (ok), 13-Май-26, 07:19   +/
>Например, практически полное отсутствие  развития по сравнению с 70-ми годами.

Ну или просто: ты не знаешь то, о чем говорить пытаешься... нэ?

>Бедняжка пытается в ad hominem. 🥲

Опять глупости пишешь...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

94. Сообщение от анонимус (??), 13-Май-26, 07:51   +1 +/
А можно было ещё поискать, спека очень даже лежит в интернетах на сайте майкрософта: https://learn.microsoft.com/en-us/openspecs/windows_protocol...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #123

95. Сообщение от Аноним (60), 13-Май-26, 10:35   +/
Всё, на что вас хватило - единственное слово?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92 Ответы: #96

96. Сообщение от Sm0ke85 (ok), 13-Май-26, 10:42   +/
>Всё, на что вас хватило - единственное слово?

А на что там можно отвечать, когда что ни коммент - так испанский стыд...? Откровенная глупость...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #95 Ответы: #97

97. Сообщение от Аноним (60), 13-Май-26, 10:49   +/
Что можно отвечать, когда вы даже не удосужились посмотреть, что является ub, а что не является? Наверное, вообще не нужно отвечать.

Каждый аргумент сишников лишь доказывает мою правоту.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #96 Ответы: #104

98. Сообщение от Аноним (98), 13-Май-26, 11:00   +/
Ты забыл:

> и это без режима thinking

Это уже результат.

Результат может такое содержать только в одном случае.

Для маркетинговых целей. Что бы воздействовать на ничего не понимающих пользователей. Если понимаешь, что кристально чисто видно, что это просто жесть.

> Интересно, можешь ли ты написать коммент, в начале которого ты утверждаешь что-то ложное, а в конце признаешь ошибку?

Я сотру начало. И напишу другой комментарий.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #120

99. Сообщение от Аноним (98), 13-Май-26, 11:06   +/
> Теперь они создают ИИ и кушают ещё больше. Обещая, что вот-вот - и наступит рай.

При этом не принося доходы и прожирая средства инвесторов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #108

100. Сообщение от Аноним (117), 13-Май-26, 11:30   +/
>В обучение зашили идею, что в случае ошибки нужно внезапно нарушить естественный ход мысли и вывести correction.

Черновик изобретён.
>Интересно, можешь ли ты написать коммент, в начале которого ты утверждаешь что-то ложное, а в конце признаешь ошибку?

Вся эта ситуация с нейросетями показывает, насколько у людей упала планка. Вам выдают полуфабрикат, которой, по хорошему, надо как минимум ещё раз прогнать на обработку, вырезав из него ошибку, а вы не просто это жрёте, вы это ещё и превозносите.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #119

101. Сообщение от Аноним (101), 13-Май-26, 12:21   –2 +/
То есть ты не знаешь как пользоваться ИИ, но "дурак" при этом ИИ? Меня поражают эти "я решил проверяльщики", каждый раз так победоносно сообщают о тупизне ИИ, при этом выглядят как люди первый раз в жизни подошедшие к компьютерю на котором линуксовый терминал где они написали "кампьютер, сделай работу!!111" и торжественно показывающие на "command not found".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #102, #103

102. Сообщение от Аноним (102), 13-Май-26, 12:37   –2 +/
>То есть ты не знаешь как пользоваться ИИ, но "дурак" при этом ИИ

Это хороший тест на интеллект, дурак должен получать результаты лучше от ИИ, чем без ИИ.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101

103. Сообщение от _oleg_ (ok), 13-Май-26, 12:38   +/
Не нуди.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101

104. Сообщение от Sm0ke85 (ok), 13-Май-26, 12:47   +/
>посмотреть, что является ub, а что не является?

Я в курсе про ub, и оно никаким боком к нашей теме не относится, если только мы не инфоцыганить собрались...

>Каждый аргумент сишников лишь доказывает мою правоту.

если то, что ты написал, ты относишь к категории "аргументы", то я был очень даже прав, описав это понятием "Глупость"...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #97 Ответы: #106

106. Сообщение от Аноним (117), 13-Май-26, 13:46   +/
>и оно никаким боком к нашей теме не относится

К какой "нашей"? Только за текущий год 60 уязвимостей. Но вы опять делаете вид, что всё хорошо.
>если только мы не инфоцыганить собрались...

Пока-что вы только отписки писать собрались. Ни аргументации - ничего. Вы даже не предложили никакого варианта, как сократить эти 60 уязвимостей. Вы максимум можете полагаться на милость владельцев нейросетей, что они и дальше позволят вам искать уязвимости.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #104

107. Сообщение от Аноним (-), 13-Май-26, 14:15   +/
> Хм.. поиграются с уязвимостями предлагают только своим :)

Потому что если каждый васян будет жрать столько ресурсов - никаких датацентров не хватит, не говоря о том кто будет оплачивать этот банкет. Ты же не пойдешь оплачивать содержание датацентров и ломовой жор ими электричества, так?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

108. Сообщение от Аноним (-), 13-Май-26, 14:28   +/
> При этом не принося доходы и прожирая средства инвесторов.

Насчет не принося доходов - нвидии всякие с триллионными оборотами совсем не жалуются. И инвесторы вполне одобряют. Производители DRAM совсем не в накладе, да и SSD все разобрали.

Да и так то возможность сэкономить на зарплатах всяких генераторов glue code уровня джуна - фирмам вполне заходит и они очень даже готовы платить за такой сервис, децимировав персонал. Так что если вы слегка "программили на питончике" и вам "сложно оставаться продуктивным более 2 часов в день" (c) - вот вас клоды и чатгопы и заменят на ура! С нефиговой экономией на вашей зарплате работотателю и без особого урона для результата.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99

109. Сообщение от Аноним (109), 13-Май-26, 14:40    Скрыто ботом-модератором+/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #115

110. Сообщение от Аноним (110), 13-Май-26, 14:43   +/
что значит не улучшит? он уже улучшает исправляя не только уязвимости, но и простые ошибки
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #118

111. Сообщение от Аноним (-), 13-Май-26, 14:46   –1 +/
> таким образом неожиданно узнал, что у майкрософтовского SSTP есть спецификация -
> на невинный вопрос как это устроено он пошёл сходил прямо в
> спеку и вывалил мне тонну интересной инфы.

А мы неожиданно узнали что на опеннет ходят кадры которые не моут сами запрос в поискарь набрать. Правда, там у допустим гугеля тоже AI нынче - и он таки тоже - скажет примерно то же самое, в чем смысл затеи и состоит! :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #122

112. Сообщение от Аноним (110), 13-Май-26, 14:46   +/
Захотят! Это любимая игра топов "оптимизация с увольнением и заменой на ии", а потом себе премию. А потом как в salesforce "некому работать всех уволили, надо расширяться нанимать", и опять себе премию за это. Раньше это просто называли "оптимизация" при увольнениях, сейчас это "внедрение ии".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #117

113. Сообщение от Аноним (-), 13-Май-26, 14:53    Скрыто ботом-модератором+/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

114. Сообщение от Аноним (-), 13-Май-26, 14:54    Скрыто ботом-модератором+/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

115. Сообщение от Аноним (115), 13-Май-26, 15:00   +/
2 или 3 год учусь говорить "свободная касса" но все никак не пригождается.

Маякни когда выходим на смену, я, зайду за тобой

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #109

116. Сообщение от Аноним (117), 13-Май-26, 15:34   +/
>Хм.. поиграются с уязвимостями предлагают только своим :)

Так это же хорошо. Теперь у сишников не будет аргумента, мол ИИ за них ошибки поправит. Того и гляди, придётся rust учить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

117. Сообщение от Аноним (117), 13-Май-26, 15:38   +1 +/
На качестве кода это в лучшую сторону не отразится, в худшую - запросто. По сути, это не более, чем разворовывание бюджета фирмы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #112

118. Сообщение от penetrator (?), 13-Май-26, 16:39   +/
> что значит не улучшит? он уже улучшает исправляя не только уязвимости, но
> и простые ошибки

если ты не понял предыдущую мысль от слова "совсем", то дальнейшая дискуссия бессмысленна

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #110

119. Сообщение от q (ok), 13-Май-26, 17:02   +/
> насколько у людей упала планка

Это у тебя она слишком высока. Вспомни, в каком состоянии была отрасль каких-то 5 лет назад.

> надо как минимум ещё раз прогнать на обработку, вырезав из него ошибку

То ли дело люди: не ошибаются, пишут без ошибок с первого раза, не генерируют CVE, не ревьюят PR друг друга, не изобретают багтрекеры для коллекционирования собственных ошибок. И на клавиатуре клавиши Backspace тоже нет -- ведь люди не ошибаются.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100

120. Сообщение от q (ok), 13-Май-26, 17:07   +/
> Если понимаешь, что кристально чисто видно, что это просто жесть.

Классический случай, когда некомпетентному человеку, не разбирающемуся в вопросе, что-то там "кристально четко видно". Обрати внимание, что твой комментарий не содержит ничего, кроме дешевых теорий заговора ("для маркетинговых целей"). Технической составляющей в ней нет от слова вообще.

> Я сотру начало. И напишу другой комментарий.

Q.E.D. Как и говорил ранее, ты так до самого конца и будешь держаться за свои заблуждения из гордости.

Послушаем твои дальнейшие ценные мысли про "обман для набора классов":

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #98

121. Сообщение от 12yoexpert (ok), 13-Май-26, 18:13   +/
до миллиона
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

122. Сообщение от НяшМяш (ok), 13-Май-26, 18:57   +/
> там у допустим гугеля тоже AI нынче

Ну вот, если нет разницы в какую иишенку запрос писать - проще писать в лучшую :3

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #111

123. Сообщение от НяшМяш (ok), 13-Май-26, 18:58   +/
Полгода назад я бы так и сделал - нашёл спеку и скормил бы её иишке сделать поверхностную выжимку. А теперь они это сами могут. Да и SSTP это было чисто праздное любопытство, не требующее копание спек в принципе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #94


Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2026 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру