Η κοινότητα του πυρήνα του Linux βιώνει μια περίοδο... εις βάθος ανασκόπηση του τρόπου αναφοράς και διαχείρισης των τρωτών σημείωνΑυτό οφείλεται σε μεγάλο βαθμό στον άμεσο αντίκτυπο των εργαλείων Τεχνητής Νοημοσύνης στον έλεγχο κώδικα. Η ευρεία υιοθέτηση αυτών των συστημάτων έχει αυξήσει δραματικά τον όγκο των ειδοποιήσεων ασφαλείας, αλλά έχει επίσης αποκαλύψει ένα σοβαρό πρόβλημα επικάλυψης, θορύβου και επιπλέον επιβάρυνσης για τους συντηρητές.
Ο Linus Torvalds, κεντρική φιγούρα στο έργο, έφτασε στο σημείο να το περιγράψει (στο Σημειώσεις έκδοσης Linux 7.1-rc4) η λίστα ιδιωτικής ασφάλειας του πυρήνα ως «Σχεδόν εντελώς μη διαχειρίσιμο» λόγω της χιονοστιβάδας αναφορών που υποστηρίζονται από τεχνητή νοημοσύνηΠολλές από αυτές τις αναφορές ήταν διπλότυπες ή λανθασμένα ταξινομημένες. Σε απάντηση, το έργο κυκλοφόρησε νέα τεκμηρίωση ενσωματωμένη στο Linux 7.1 που επαναπροσδιορίζει τι συνιστά μια πραγματική ευπάθεια ασφαλείας και τον τρόπο με τον οποίο θα πρέπει να αντιμετωπίζονται οι αναφορές που δημιουργούνται με χρήση μοντέλων τεχνητής νοημοσύνης.
Μια λίστα ασφαλείας κατακλυσμένη από διπλότυπες αναφορές
Στις πρόσφατες ανακοινώσεις του σχετικά με την ανάπτυξη του Linux 7.1, ο Torvalds προειδοποίησε ότι η λίστα αλληλογραφίας ευπαθειών έχει γίνει... ένα σημείο συμφόρησης όπου σημαντικές ειδοποιήσεις αναμειγνύονται με πλήθος περιττών αναφορώνΤο πρόβλημα δεν είναι μόνο η ποσότητα, αλλά ότι διαφορετικοί άνθρωποι, χρησιμοποιώντας τα ίδια αυτοματοποιημένα εργαλεία, καταλήγουν να υποβάλλουν ακριβώς τα ίδια ευρήματα.
Όπως εξήγησε, οι προγραμματιστές σπαταλούν πολύ χρόνο προωθώντας μηνύματα σε εκείνους που θα έπρεπε πραγματικά να τα λάβουν ή διευκρινίζοντας ότι το σφάλμα έχει ήδη διορθωθεί. διορθώθηκε πριν από ημέρες ή εβδομάδες σε κλάδους πυρήναΑυτή η κατάσταση, που ορισμένοι συγκρίνουν με μια «πλημμύρα» email, αναγκάζει τους πόρους να αφιερώνονται στη διευκρίνιση διπλότυπων μηνυμάτων αντί να επικεντρώνονται σε νέες και σοβαρές ευπάθειες.
Ο Willy Tarreau, ένας έμπειρος συντηρητής σταθερού πυρήνα, γνωστός για την εργασία του στο HAProxy, παρείχε ενδεικτικά σχήματα: Μόλις πριν από μερικά χρόνια, η ιδιωτική λίστα αλληλογραφίας λάμβανε δύο έως τρεις αναφορές την εβδομάδα.Ενώ τώρα διεκπεραιώνονται καθημερινά πέντε έως δέκα αναφορές. Πολλές προέρχονται από αναλύσεις με τη βοήθεια τεχνητής νοημοσύνης, οι οποίες, αν και μερικές φορές υποδεικνύουν πραγματικά προβλήματα, φτάνουν σε μη πρακτικές μορφές και χωρίς να παρέχουν σχετικές πρόσθετες πληροφορίες.
Ο Τόρβαλντς δεν καταγγέλλει την Τεχνητή Νοημοσύνη, αλλά την κακή χρήση της.
Αν και μπορεί να φαίνεται διαφορετικό, ο Τόρβαλντς το έχει ξεκαθαρίσει αυτό Δεν αντιτίθεται στη χρήση της τεχνητής νοημοσύνης ως εργαλείου ανάπτυξης και ελέγχου.Ο ίδιος αναγνωρίζει τη χρήση αυτού του είδους συστημάτων στο έργο του, αλλά επιμένει ότι πρέπει να χρησιμοποιούνται υπεύθυνα και με σύνεση.
Στα μηνύματά του προς την κοινότητα, έχει τονίσει ότι τα εργαλεία τεχνητής νοημοσύνης «είναι εξαιρετικά» όταν βοηθούν πραγματικά, αλλά γίνονται πρόβλημα όταν δημιουργούν... «περιττός πόνος και άχρηστη φανταστική εργασία»Με άλλα λόγια, το απλό γεγονός ότι ένα αυτοματοποιημένο μοντέλο επισημαίνει μια πιθανή ευπάθεια δεν δικαιολογεί την υπερφόρτωση των καναλιών ασφαλείας με αναφορές που δεν έχουν επαληθευτεί πλήρως ή με αναφορές που δεν έχουν τεχνικό περιεχόμενο.
Ο Torvalds επιμένει ότι όποιος χρησιμοποιεί τεχνητή νοημοσύνη για να βρει σφάλματα δεν θα πρέπει απλώς να προωθεί ένα ακατέργαστο αποτέλεσμα, αλλά Διαβάστε την τεκμηρίωση του πυρήνα, κατανοήστε το μοντέλο απειλής και, όποτε είναι δυνατόν, παρέχετε μια ενημέρωση κώδικα ή τουλάχιστον μια τεκμηριωμένη εξήγηση των επιπτώσεων.Ο στόχος είναι οι άνθρωποι να προσθέσουν αξία στην αυτοματοποιημένη εργασία, αντί να ενεργούν ως απλοί μεσάζοντες μεταξύ του εργαλείου και της λίστας αλληλογραφίας.
Νέοι κανόνες στο Linux 7.1: τι είναι ευπάθεια και τι δεν είναι
Σε απάντηση σε αυτήν την κατάσταση, το έργο πυρήνα έχει ενσωματώσει πιο ακριβή τεκμηρίωση στο Linux 7.1 σχετικά με Ποιες αποτυχίες θα πρέπει να αντιμετωπίζονται ως ευπάθειες ασφαλείας και ποιες είναι απλώς σφάλματα που πρέπει να αντιμετωπίζονται μέσω των συνήθων καναλιώνΤο κείμενο, γραμμένο από τον Willy Tarreau, είναι ήδη μέρος του δέντρου Git του πυρήνα και είναι διαθέσιμο πριν από την κυκλοφορία του Linux 7.1-rc4.
Ο οδηγός ξεκινά με μια απλή ιδέα: Τα περισσότερα σφάλματα δεν πρέπει να δρομολογούνται μέσω της λίστας ιδιωτικής ασφάλειαςΑντίθετα, θα πρέπει να αντιμετωπίζονται ανοιχτά σε δημόσιες λίστες αλληλογραφίας ανάπτυξης. Η δημόσια συζήτηση των προβλημάτων προσελκύει περισσότερους κριτικούς, καλύπτει περισσότερες περιπτώσεις χρήσης και γενικά οδηγεί σε λύσεις υψηλότερης ποιότητας.
Το έγγραφο σημειώνει ότι το Linux είχε ήδη ένα σαφώς καθορισμένο μοντέλο απειλήςΑυτό πλέον χρησιμεύει ως το κύριο σημείο αναφοράς όταν αποφασίζεται εάν μια ευπάθεια πρέπει να αντιμετωπιστεί ιδιωτικά. Ως ευπάθεια ασφαλείας ορίζεται μια ευπάθεια που επιτρέπει σε έναν εισβολέα να αποκτήσει δυνατότητες που δεν θα έπρεπε να έχει ένα σωστά διαμορφωμένο σύστημα παραγωγής, η οποία είναι εύλογα εκμεταλλεύσιμη και η οποία αποτελεί πραγματική απειλή για σημαντικό αριθμό χρηστών.
Στην πράξη, όσοι ανακαλύπτουν προβλήματα καλούνται να αναρωτηθούν αν το σφάλμα Πραγματικά ξεπερνά τα όρια εμπιστοσύνης σε ένα τυπικό περιβάλλον.Εάν η απάντηση είναι όχι, η συνιστώμενη προσέγγιση είναι να ελέγξετε τις δημόσιες λίστες αλληλογραφίας (όπως η LKML και οι λίστες αλληλογραφίας για συγκεκριμένα υποσυστήματα), όχι το κανάλι περιορισμένης ασφάλειας. Παρόλα αυτά, ο οδηγός επιτρέπει έναν βαθμό προσοχής: σε περίπτωση αμφιβολίας, είναι προτιμότερο να ελέγξετε ιδιωτικά μια αμφισβητήσιμη αναφορά παρά να αφήσετε μια πραγματική ευπάθεια να ξεγλιστρήσει από το δίχτυ.
Ένα άλλο βασικό σημείο του κειμένου είναι ότι Η αποστολή συνηθισμένων σφαλμάτων στην ιδιωτική λίστα αλληλογραφίας δεν τα διορθώνει πιο γρήγορα.Αντιθέτως, καταναλώνει τον χρόνο διαλογής που χρειάζεται η ομάδα ασφαλείας για να ιεραρχήσει τις πραγματικά κρίσιμες βλάβες. Η υπερφόρτωση αυτού του καναλιού με μικρά προβλήματα τελικά επιδεινώνει τη συνολική προστασία των συστημάτων που βασίζονται σε Linux, συμπεριλαμβανομένων των διακομιστών, της υποδομής cloud και των βιομηχανικών συσκευών.
Το μοντέλο απειλής: διαχωρισμός προνομίων και εξαιρούμενων περιπτώσεων
Η νέα τεκμηρίωση ενημερώνει και περιγράφει λεπτομερώς το μοντέλο απειλών πυρήνα, το οποίο παραθέτει τις εγγυήσεις των οποίων θεωρείται παραβίαση. ένα πρόβλημα ασφάλειας που χρήζει προτεραιότηταςΑυτά περιλαμβάνουν τον διαχωρισμό μεταξύ χώρου χρήστη και πυρήνα, την απομόνωση μνήμης μεταξύ διεργασιών, τους περιορισμούς ptrace, την απομόνωση μηχανισμών IPC και δικτύου, καθώς και προστασίες που σχετίζονται με ευαίσθητες δυνατότητες όπως CAP_SYS_ADMIN, CAP_NET_ADMIN ή CAP_SYS_PTRACE.
Ιδιαίτερη προσοχή δίνεται στους χώρους ονομάτων χρηστών, όπου ρυθμίσεις όπως η CONFIG_USER_NS επιτρέπουν σε χρήστες χωρίς δικαιώματα να δημιουργούν απομονωμένα περιβάλλοντα. Το έργο αναμένει ότι αυτές οι περιπτώσεις δεν μπορούν να θέσουν σε κίνδυνο το παγκόσμιο σύστημαέτσι ώστε οποιαδήποτε παραβίαση αυτής της απομόνωσης να αποκτά σημασία για την ασφάλεια.
Αναλύονται επίσης διεπαφές εντοπισμού σφαλμάτων όπως /proc/kmsg, perf ή debugfs, έχοντας κατά νου ότι η πρόσβαση σε ευαίσθητες πληροφορίες μέσω αυτών των μηχανισμών είναι επικίνδυνη. Πρέπει να αποκλειστεί, εκτός εάν έχει εξουσιοδοτηθεί ρητά από τον διαχειριστή.Διαφορετικά, υπάρχει κίνδυνος διαρροής δεδομένων που θα μπορούσαν να χρησιμοποιηθούν για τη βελτίωση των επιθέσεων ή την κλιμάκωση των προνομίων.
Μαζί με αυτόν τον ορισμό των εγγυήσεων, ο οδηγός διευκρινίζει τι είδους προβλήματα Δεν θα πρέπει να χαρακτηρίζονται αυτόματα ως ευπάθειεςΑυτή η κατηγορία περιλαμβάνει σφάλματα σε παρωχημένους κλάδους πυρήνα, μη ασφαλείς επιλογές μεταγλώττισης που έχουν επιλεγεί από τον διαχειριστή, λανθασμένα δικαιώματα στο sysctl ή σε συστήματα αρχείων, συναρτήσεις που προορίζονται για εντοπισμό σφαλμάτων (LOCKDEP, KASAN, FAULT_INJECTION) και πειραματικό κώδικα σε περιοχές σταδιοποίησης.
Ελαττώματα που απαιτούν Υπερβολικά προνόμια, εργαστηριακά σενάρια μακριά από την πραγματική χρήση, χειραγωγημένο υλικό, ένας μη διαχειρίσιμος αριθμός προσπαθειών ή διαμορφώσεις που κανένας λογικός διαχειριστής δεν θα εφάρμοζε στην παραγωγή. Ομοίως, οι διαρροές δεδομένων χωρίς σαφή ευπάθεια και ορισμένα προβλήματα σε εικόνες συστήματος αρχείων, τα οποία συνήθως αντιμετωπίζονται από εργαλεία όπως το fsck, δεν εμπίπτουν στο βασικό πεδίο εφαρμογής του καναλιού ασφαλείας.
Ευρήματα με τη βοήθεια της Τεχνητής Νοημοσύνης: από τον ιδιωτικό στον δημόσιο τομέα
Μία από τις πιο εντυπωσιακές αλλαγές στην ενημέρωση είναι η προσέγγιση στα σφάλματα που ανακαλύπτονται με τη βοήθεια της Τεχνητής Νοημοσύνης. Η τεκμηρίωση αναφέρει ότι Τα σφάλματα που εντοπίζονται μέσω αυτοματοποιημένης ανάλυσης θα πρέπει να αντιμετωπίζονται ως ουσιαστικά δημόσια.ακόμη και αν η πρώτη αποστολή γίνει με ιδιωτικό ταχυδρομείο.
Ο λόγος είναι καθαρά πρακτικός: η πρόσφατη εμπειρία από την ομάδα ασφαλείας δείχνει ότι αυτές οι βλάβες τείνουν να συμβαίνουν ταυτόχρονα στα χέρια πολλών ερευνητών που πειραματίζονται με παρόμοια εργαλεία. Είναι σύνηθες να φτάνουν πολλά email μέσα σε λίγες ώρες περιγράφοντας την ίδια κατάσταση, με μικρές παραλλαγές στη μορφή, γεγονός που καθιστά μη ρεαλιστική οποιαδήποτε προσδοκία για παρατεταμένη εμπιστευτικότητα.
Αυτή η νέα πραγματικότητα οδηγεί τον Τόρβαλντς να υποστηρίξει ότι Δεν έχει νόημα να αντιμετωπίζουμε αυτά τα ευρήματα ως μυστικά που πρέπει να κρυφτούν μέχρι να δημιουργηθεί ένα έμπλαστρο.Εάν μια κοινή τεχνητή νοημοσύνη μπορεί να τα εντοπίσει, είναι λογικό να υποθέσουμε ότι και άλλοι παράγοντες, συμπεριλαμβανομένων πιθανών επιτιθέμενων, μπορούν να φτάσουν στο ίδιο αποτέλεσμα. Η επισήμανσή τους ως δεσμευμένα τρωτά σημεία προσθέτει μόνο επιπλέον δουλειά και περιπλέκει τον συντονισμό.
Αυτό δεν σημαίνει ότι συνιστάται η δημοσίευση όλων των τεχνικών λεπτομερειών χωρίς φιλτράρισμα. Ο οδηγός ζητά, σε περιπτώσεις που εντοπίζονται με χρήση τεχνητής νοημοσύνης, Ένας ενεργός παίκτης για το σφάλμα δεν κοινοποιείται αμέσως (η ακριβής ακολουθία βημάτων ή κώδικας που ενεργοποιεί το σφάλμα). Η κατάλληλη προσέγγιση είναι να υποδείξετε ότι αυτό το υλικό υπάρχει και να επιτρέψετε στους συντηρητές να το ζητήσουν ιδιωτικά εάν το κρίνουν απαραίτητο για την επικύρωση της διόρθωσης.
Με αυτήν την προσέγγιση, το έργο επιχειρεί να συνδυάσει δύο ενδιαφέροντα: αφενός, Αποφύγετε να γεμίζετε την ιδιωτική λίστα με ευρήματα που ήδη γνωρίζουν άλλοι.Από την άλλη πλευρά, είναι σημαντικό να μην προσφέρεται σε οποιονδήποτε μια «συνταγή» για εκμετάλλευση πριν από τη λήψη μέτρων μετριασμού. Το πρόγραμμα αναπαραγωγής πολυμέσων αναγνωρίζεται ως ένα πολύτιμο εργαλείο τόσο για τον εντοπισμό σφαλμάτων όσο και για την αξιολόγηση των επιπτώσεων, αλλά και ως ένα ευαίσθητο ζήτημα εάν διανέμεται χωρίς ελάχιστους ελέγχους.
Απαιτήσεις ποιότητας για αναφορές που δημιουργούνται από τεχνητή νοημοσύνη
Η νέα τεκμηρίωση αφιερώνει μια ολόκληρη ενότητα στον τρόπο με τον οποίο πρέπει να συντάσσονται οι αναφορές που υποστηρίζονται από την Τεχνητή Νοημοσύνη. Το επαναλαμβανόμενο παράπονο από τις ομάδες συντήρησης είναι ότι πολλές από αυτές τις αναφορές φτάνουν. υπερβολικά διογκωμένο, με περιττές εξηγήσεις και μικρή εστίαση σε ουσιώδη δεδομένα, γεγονός που περιπλέκει την ανάγνωση και την ταξινόμησή του.
Καταρχάς, ζητείται οι εκθέσεις να είναι σύντομο, σαφές και σε απλό κείμενοΗ ομάδα αποθαρρύνει τη χρήση μορφών όπως το Markdown, διακοσμητικών στοιχείων ή σύνθετων δομών που δεν αντέχουν καλά στις αλυσιδωτές απαντήσεις σε λίστες αλληλογραφίας. Η ιδέα είναι ότι κατά την προώθηση ή την παράθεση του μηνύματος, δεν χάνονται πληροφορίες και το κείμενο δεν γίνεται δυσανάγνωστο μπλοκ.
Όσον αφορά το περιεχόμενο, συνιστάται να ξεκινήσετε με ένα Μια απλή σύνοψη που υποδεικνύει το επηρεαζόμενο αρχείο ή υποσύστημα, τις επηρεαζόμενες εκδόσεις και την παρατηρήσιμη επίδραση του σφάλματος.Από εκεί και πέρα, μπορούν να προστεθούν λεπτομέρειες, αλλά πάντα με σκοπό να διευκολυνθεί μια γρήγορη ανάγνωση που σας επιτρέπει να αποφασίσετε εάν το σφάλμα αποτελεί προτεραιότητα ή εμπίπτει στην κατηγορία των μικρών προβλημάτων.
Μια άλλη σημαντική πτυχή είναι ο τρόπος με τον οποίο περιγράφεται ο αντίκτυπος. Οι προγραμματιστές πυρήνα προειδοποιούν ότι πολλές αναφορές που δημιουργούνται από την Τεχνητή Νοημοσύνη... Τείνουν να υπερβάλλουν τις θεωρητικές συνέπειεςΣυνδυάζοντας υποθετικά σενάρια που δεν σέβονται το πραγματικό μοντέλο απειλής του έργου. Αντί να κατασκευάζουν σύνθετες αφηγήσεις επίθεσης, οι συμμετέχοντες καλούνται να επιμείνουν σε επαληθεύσιμα γεγονότα, όπως να εξηγήσουν συγκεκριμένα ποιες πρόσθετες δυνατότητες θα μπορούσε να αποκτήσει ένας χρήστης σε ένα τυπικά διαμορφωμένο σύστημα.
Ο οδηγός φτάνει στο σημείο να προτείνει ότι, όπου είναι εφικτό, το ίδιο το εργαλείο τεχνητής νοημοσύνης θα πρέπει να έχει προδιαβάσει την τεκμηρίωση του μοντέλου απειλών Linux. να ευθυγραμμίσει τα συμπεράσματά του με τα κριτήρια που έχουν ήδη καθοριστεί από το έργοΣτόχος είναι η μείωση των παρεξηγήσεων και η αποτροπή της μετατροπής ενός σφάλματος με περιορισμένο αντίκτυπο σε υποτιθέμενη κρίσιμη ευπάθεια μέσω αυτοματοποιημένων αναφορών χωρίς καμία πραγματική βάση.
Παίκτες, ενημερώσεις κώδικα και κοινή λογική στην εποχή του αυτοματισμού
Εκτός από τον τρόπο περιγραφής της βλάβης, η τεκμηρίωση εστιάζει στις πιο πρακτικές πτυχές: Δημιουργία και επικύρωση παικτών και ενημερώσεων με υποβοήθηση τεχνητής νοημοσύνηςΠολλά σύγχρονα εργαλεία μπορούν να δημιουργήσουν μικρά δοκιμαστικά προγράμματα ή σενάρια που ενεργοποιούν το σφάλμα, καθώς και να προτείνουν αλλαγές στον κώδικα για τη διόρθωσή του, αλλά δεν το κάνουν πάντα αξιόπιστα.
Ο πυρήνας επιμένει ότι, πριν από την αποστολή μιας αναφοράς, Ο ερευνητής πρέπει να επαληθεύσει προσωπικά ότι ο παίκτης λειτουργεί όπως περιγράφεται.Εάν η ακολουθία δεν προκαλέσει την αποτυχία ή εάν η Τεχνητή Νοημοσύνη δεν είναι σε θέση να δημιουργήσει μια αναπαραγώγιμη μέθοδο, η εγκυρότητα της αναφοράς διακυβεύεται σοβαρά. Η δημοσίευση ευρημάτων χωρίς αυτήν την επαλήθευση προσθέτει μόνο θόρυβο και σπαταλάει χρόνο για τους συντηρητές.
Όσον αφορά τα patches, το κείμενο υπογραμμίζει ότι πολλά AI είναι ακόμη καλύτερα. γράφοντας κώδικα που αξιολογεί τον αντίκτυπό τουΣυνεπώς, οι χρήστες αυτών των εργαλείων ενθαρρύνονται να τους ζητούν όχι μόνο να εντοπίσουν το πρόβλημα αλλά και να προτείνουν μια λύση. Ωστόσο, τονίζεται ότι το αποτέλεσμα πρέπει να ελεγχθεί και να δοκιμαστεί χειροκίνητα πριν υποβληθεί σε λίστες αλληλογραφίας ανάπτυξης.
Ο οδηγός είναι σαφής σε περιπτώσεις όπου το έμπλαστρο δεν μπορεί να δοκιμαστεί επειδή εξαρτάται από εξωτικό υλικό, σχεδόν εξαφανισμένα πρωτόκολλα δικτύου ή εξαιρετικά σπάνιες διαμορφώσειςΕάν ένα ελάττωμα εκδηλώνεται μόνο σε ένα τόσο περιθωριακό περιβάλλον που κανείς δεν μπορεί εύκολα να το επικυρώσει, είναι πολύ πιθανό να μην έχει την σχετική κατηγορία ευπάθειας ασφαλείας και δεν θα πρέπει να καταναλώνει τον χρόνο του ιδιωτικού καναλιού.
Όταν προτείνει μια επιδιόρθωση, το έργο υπενθυμίζει στους χρήστες ότι πρέπει να συμμορφώνεται με τις τυπικές οδηγίες υποβολής ενημερώσεων κώδικα πυρήνα, συμπεριλαμβανομένης της ετικέτας «Διορθώσεις:» που υποδεικνύει τη συγκεκριμένη υποβολή που εισήγαγε το σφάλμαΣυνιστάται επίσης να εφαρμόζεται η κοινή λογική: εάν το επηρεαζόμενο αρχείο δεν έχει αλλάξει για περισσότερο από ένα χρόνο και συντηρείται από ένα μόνο άτομο, ενδέχεται να έχουμε να κάνουμε με ένα στοιχείο με πολύ λίγους πραγματικούς χρήστες, όπως παλιά προγράμματα οδήγησης υλικού ή παρωχημένα συστήματα αρχείων.
Σε αυτές τις περιπτώσεις, η σύσταση είναι σαφής: εάν το πρόβλημα είναι ασήμαντο, εύκολο στην ανίχνευση και δεν έχει εμφανή αντίκτυπο σε τυπικά περιβάλλοντα, Η πιο λογική προσέγγιση είναι να αντιμετωπιστεί απευθείας μέσω των καταλόγων δημόσιας ανάπτυξης. και όχι στη λίστα που είναι αφιερωμένη στην ασφάλεια. Με αυτόν τον τρόπο, οι πιο ευαίσθητοι πόροι διατηρούνται για περιστατικά με δυνητικά σοβαρές συνέπειες.
Από την εποχή του fuzzing στη χιονοστιβάδα της τεχνητής νοημοσύνης: μαθήματα για το ελεύθερο λογισμικό
Η τρέχουσα κατάσταση θυμίζει κάπως την εποχή που άρχισαν να χρησιμοποιούνται εργαλεία fuzzing όπως το Syzkaller. βομβαρδίστε τον πυρήνα με αναφορές για εντοπισμένα σφάλματα με ημιαυτόματο τρόποΕκείνη την εποχή, η κοινότητα έπρεπε να μάθει να ενσωματώνει αυτή τη συνεχή ροή ευρημάτων στη διαδικασία ανάπτυξής της χωρίς να καταρρέει η καθημερινή της εργασία.
Κάτι παρόμοιο συμβαίνει και με την τεχνητή νοημοσύνη, αλλά σε διαφορετική κλίμακα. Τώρα, όχι μόνο αυτοματοποιείται η παραγωγή δεδομένων που προκαλούν σφάλματα, αλλά και... τη σύνταξη των ίδιων των αναφορών, τη στατική ανάλυση του κώδικα και την πρόταση ενημερώσεων κώδικα (patches)Αυτό επιταχύνει την εύρεση σφαλμάτων, αλλά αν δεν φιλτραριστούν και δεν ιεραρχηθούν σωστά, πολλαπλασιάζει επίσης τον αριθμό των email, τις παράλληλες συζητήσεις και τις προσδοκίες σχετικά με το τι μπορεί να χειριστεί η ομάδα του πυρήνα.
Μέσα στο ίδιο το οικοσύστημα Linux, υπάρχουν λεπτές αποχρώσεις στην αξιολόγηση αυτού του φαινομένου. Ο Greg Kroah-Hartman, ένας άλλος βασικός συντηρητής πυρήνα, έχει επισημάνει ότι Οι αναφορές που δημιουργούνται από τεχνητή νοημοσύνη έχουν γρήγορα μετατραπεί από σχεδόν πάντα άχρηστες σε έγκυρες συνεισφορές.Αυτή η πιο αισιόδοξη άποψη συνυπάρχει με την ανησυχία του Torvalds σχετικά με την υπερβολική ποσότητα διπλότυπων και την υπερφόρτωση της λίστας ασφαλείας.
Αντί να αποτελούν αντίφαση, αυτές οι θέσεις αντικατοπτρίζουν δύο όψεις της ίδιας διαδικασίας υιοθεσίαςΑφενός, η Τεχνητή Νοημοσύνη μπορεί να είναι πολύ χρήσιμη για την εύρεση πραγματικών προβλημάτων. αφετέρου, εάν πολλοί άνθρωποι χρησιμοποιούν τα ίδια εργαλεία στον ίδιο κώδικα και υποβάλλουν τα αποτελέσματα χωρίς φιλτράρισμα, το συνδυασμένο αποτέλεσμα είναι μια «καταιγίδα» ειδοποιήσεων που είναι δύσκολο να διαχειριστεί.
Ένα παράδειγμα υπεύθυνης χρήσης αυτοματισμού παρέχεται από τον ίδιο τον Kroah-Hartman, ο οποίος έχει δημοσιεύσει προσαρμοσμένα συστήματα για τη σάρωση του πυρήνα, τη δημιουργία ενημερώσεων κώδικα, τη δοκιμή τους και την υποβολή τους σύμφωνα με την τυπική ροή εργασίας του έργου. Το κλειδί είναι ότι, σε αυτές τις περιπτώσεις, Ο προγραμματιστής αναλαμβάνει την πλήρη τεχνική ευθύνη για ολόκληρο τον κύκλο ζωής, αντί να γίνεται απλώς προώθηση χωρίς να ελέγχεται τι παράγει ένα εργαλείο.
Όλο το κίνημα γύρω από το Linux 7.1 δείχνει ένα έργο που, αντί να απορρίπτει την τεχνητή νοημοσύνη, είναι... προσαρμόζοντας τις διαδικασίες τους έτσι ώστε ο αυτοματισμός να λειτουργεί υπέρ της ασφάλειας και όχι εναντίον τηςΘέτοντας αυστηρότερα κριτήρια για το τι συνιστά ευπάθεια, απαιτώντας επαληθεύσιμες αναφορές απλού κειμένου και ενθαρρύνοντας την Τεχνητή Νοημοσύνη να συμβάλλει στη δημιουργία και τον έλεγχο ενημερώσεων κώδικα, ο πυρήνας στοχεύει στην προστασία του χρόνου των συντηρητών, στη μείωση του θορύβου και στην εστίαση των προσπαθειών σε σφάλματα που μπορούν στην πραγματικότητα να θέσουν σε κίνδυνο τα συστήματα παραγωγής.