The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В OpenBSD переименовали поле в pfsync после ложного AI-отчёта об уязвимости

13.04.2026 21:09 (MSK)

Тэо де Раадт (Theo de Raadt) переименовал название поля в заголовке пакета pfsync после поступления ложного отчёта об уязвимости, сгенерированного AI-инструментами. Поле "pfcksum[PF_MD5_DIGEST_LENGTH]" переименовано в "spare[16]", так как AI-модель полагала, что имя pfcksum свидетельствует о хранении в поле хэша или контрольной суммы содержимого пакета и, так как поле не проверялось, считала, что в коде есть уязвимость.

Тэо пояснил, что на раннем этапе разработки pfsync указанное поле было добавлено для хранения хэша набора правил с целью оптимизации проверки состояния. В конечном счёте от этой идеи отказались, но поле было оставлено для сохранения обратной совместимости и всегда оставалось заполненным нулями. В коде данное поле лишь упоминалось в структуре пакета, но не проверялось и не заполнялось.

В сгенерированном AI-отчёте утверждалось о наличии уязвимости, так как поле вычисляется при отправке пакета, но не проверяется при получении. В отчёте детально пояснялся принцип работы и источник проблемы, но на деле - это было AI-галлюцинацией, выдуманной лишь на основании использования в коде слов "pfcksum" и "PF_MD5_DIGEST_LENGTH". Человек, использовавший AI для поиска уязвимости, не потрудился проверить результат перед отправкой отчёта об уязвимости.

  1. Главная ссылка к новости (https://undeadly.org/cgi?actio...)
  2. OpenNews: Интервью с Грегом Кроа-Хартманом о созданных через AI отчётах об ошибках
  3. OpenNews: Сопровождающие Godot перегружены из-за обилия сомнительных изменений, созданных с помощью AI
  4. OpenNews: Защита от мусорных AI-изменений на GitHub. Оценка влияния вайб-кодинга на экосистему открытого ПО
  5. OpenNews: LLVM ввёл правила применения AI-инструментов. Curl и Node.js ограничат выплаты за уязвимости из-за AI
  6. OpenNews: Представлен Gixy-Next, форк Gixy-ng, избавленный от изменений, сгенерированных через AI
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65196-ai
Ключевые слова: ai, openbsd
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (22) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 21:24, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    Но мне же рассказывали, что сейчас бредогенератор найдёт миллионы уязвимостей!
     
     
  • 2.2, Werwolf (ok), 21:28, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +9 +/
    так он и нашёл, но есть нюанс)))
     
     
  • 3.7, Аноним (7), 22:08, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    вчера попросил AI найти и составить список из 10 книг по интересующему меня вопросу. Из 10 книг 5ть книг не существуют. Спрашиваю как так, ответ AI: ну вы просили я взял типичные названия таких книг и фамилии авторов и сгенерил)))

     
     
  • 4.9, Werwolf (ok), 22:10, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > вчера попросил AI найти и составить список из 10 книг по интересующему
    > меня вопросу. Из 10 книг 5ть книг не существуют. Спрашиваю как
    > так, ответ AI: ну вы просили я взял типичные названия таких
    > книг и фамилии авторов и сгенерил)))

    не хочется повторяться.. но очень уж сюжа подходит:
    задача то выполнена, но есть нюанс)))

    бывают ситуации кстати забавные, мне чатгопота порекомендовала несуществующую утилиту, а спустя пол года такая утилита всё же появилась, правда с другими флагами и на другом ЯП, но задачу выполняет нужную

     
     
  • 5.23, нах. (?), 22:48, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > бывают ситуации кстати забавные, мне чатгопота порекомендовала несуществующую утилиту, а
    > спустя пол года такая утилита всё же появилась

    кому-то пришло в голову сказать ей "раз придумала - давай вайбкодь!"

     
  • 4.17, Аноним (17), 22:38, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > попросил AI найти и составить список из 10 книг

    Для ИИ без разницы, рисовать зелёного мамонта или список книг.

     
  • 2.6, Аноним (6), 22:06, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Недавние десятки дыр залатанных в огнелисе разве не доказательство того что ИИ таки могет их находить?
     
     
  • 3.14, Аноним (14), 22:27, 13/04/2026 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 3.15, Аноним (17), 22:30, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    залатывали - чем? Этим же ИИ? И он подтвердил факт залатывания?
     
     
  • 4.20, нах. (?), 22:41, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    чувак, ЫЫ умеет потдвердить факт незалатывания - созданием рабочего эксплойта.
     
  • 2.19, нах. (?), 22:41, 13/04/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     

  • 1.3, Аноним10084 и 1008465039 (?), 21:29, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    А всё ж побудил переименовать, странно что не отклонили
     
     
  • 2.5, Аноним (5), 22:05, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Это.
    только хуже сделали, ща налетит орда
     
  • 2.8, Аноним (8), 22:08, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Иногда полезно публично зафиксировать чью-то тупость. В назидание потомкам.
     
     
  • 3.10, Аноним (10), 22:14, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Вы про "на раннем этапе разработки pfsync указанное поле было добавлено для хранения хэша набора правил с целью оптимизации проверки состояния. В конечном счёте от этой идеи отказались"?
    Ну так оно вроде и так зафиксировано было.
     
     
  • 4.22, Аноним (8), 22:47, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Этого от токенов отключить, а то повторяется и галлюцинирует.
     
  • 3.21, нах. (?), 22:43, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    вот и надо было - зафиксировать. И потом даже не ыы а вполне детерменированным скриптом с грепом реджектить все подобные pr'ы и банить учетки с которых они приходят.

    Но видимо у Тео настолько уже плохо с pr'ами что он готов прогибаться под глюки ЫЫ.

     

  • 1.12, Аноним (14), 22:23, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > всегда оставалось заполненным нулями
    > поле вычисляется при отправке пакета

    Так всё-таки заполнялось нулями или вычислялось?
    И зачем что-то переименовывать, когда можно просто отправить вайб-аудитора подальше?

     
     
  • 2.18, rm1 (?), 22:40, 13/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > И зачем что-то переименовывать, когда можно просто отправить вайб-аудитора подальше?

    Потому что бардак, когда что-то называется не в соответствии со своим предназначением.
    Давайте сделаем где-нибудь простейший цикл от 1 до 10, а переменную цикла вместо обычной i назовём как-нибудь типа этого же packet_checksum. Нормально?
    Так что AI хоть и не уязвимость нашёл, но обратил внимание на косяк в коде, хорошо что исправили.

     

  • 1.13, й (?), 22:23, 13/04/2026 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +2 +/
     
  • 1.16, нах. (?), 22:32, 13/04/2026 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +1 +/
     
  • 1.24, Tron is Whistling (?), 23:04, 13/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не потрудившегося проверить - в банлист, код не менять.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру