Populārā datu pārsūtīšanas rīka curl komanda no 1. jūlija līdz 3. augustam neapstrādā nevienu jaunu drošības ziņojumu. Projekta dibinātājs Daniel Stenberg šo mēnesi ilgo pauzi savā blogā nosaucis par “summer of bliss”. Iemesls ir tiešs: pēdējos četrus mēnešus komandu pārpludinājuši ievainojamību ziņojumi. Liela daļa no tiem ir mākslīgā intelekta radīts troksnis.
curl darbojas uz apmēram 30 miljardiem ierīču, no automašīnām līdz serveriem un viedtālruņiem. Tā drošība skar ļoti plašu lietotāju loku, tāpēc ziņojumu apstrādi nevar vienkārši atlikt. Tieši tāpēc mēneša pauze piesaistīja tik daudz uzmanības. curl kodu uztur neliela cilvēku grupa. Tā pati izlasa katru saņemto ziņojumu, atbild iesniedzējam un izlemj, vai apraksts ir patiess.
curl pastāv kopš 1998. gada. Stenberg to uztur jau vairāk nekā divdesmit piecus gadus. Rīks pārsūta datus ar tīmekļa protokoliem. To izmanto gan komandrindā, gan iebūvētu bibliotēkā libcurl daudzās programmās. Tāpēc katrs apstiprināts drošības caurums curl var skart tūkstošiem produktu vienlaikus. Šī atbildība padara nederīgo ziņojumu straumi īpaši nogurdinošu.
Ko tieši curl aptur
Pauze attiecas uz diviem kanāliem: HackerOne ievainojamību ziņošanas formu un drošības e-pasta adresi. Neviens no tiem jūlijā netiek apstrādāts. GitHub kļūdu izsekotājs un izmaiņu pieprasījumi paliek atvērti, tāpēc parastā izstrāde turpinās. Cilvēks, kas atradis reālu problēmu ārpus drošības jomas, joprojām var to pieteikt.
Klienti ar apmaksātu atbalsta līgumu saņem pilnu apkalpošanu arī jūlijā. Stenberg pārcēla nākamo laidienu curl 8.22.0 par divām nedēļām uz 2. septembri, lai komanda mēnesi varētu atpūsties un strādāt pie kļūdu labošanas mierīgā tempā. Kritiskas ievainojamības gadījumā komanda rīkosies arī pauzes laikā, taču ikdienas plūsmu tā apzināti aptur.
Cik daudz ir AI slopa
Stenberg jau 2025. gadā rakstīja, ka aptuveni 20 % no visiem drošības ziņojumiem ir AI radīts “slops”: teksti, kas atsaucas uz neesošām funkcijām vai kodu, kam ar reālu ievainojamību nav nekāda sakara. Vidēji projekts saņem apmēram divus drošības ziņojumus nedēļā. Šogad to skaits salīdzinājumā ar pagājušo gadu ir dubultojies. Ziņojumi ienāk galvenokārt caur HackerOne platformu, kur katrs iesniegums prasa uzturētāja atbildi un vērtējumu.
Šādi ziņojumi ārēji izskatās profesionāli. Tajos ir garš apraksts, koda fragmenti un pat ieteikts labojums. Problēma parādās tad, kad uzturētājs sāk pārbaudīt faktus: minētā funkcija curl pirmkodā neeksistē, vai arī aprakstītais uzbrukums nekad nedarbotos. Stenberg dažus šādus piemērus publicējis atklātā GitHub gist failā, lai parādītu, cik pārliecinoši izskatās nederīgs ziņojums. Uzturētājs nevar tos vienkārši ignorēt, jo katrs iesniegums teorētiski var būt īsta ievainojamība, kuru neievērot būtu bīstami. Tieši šī neziņa padara katru pārbaudi laikietilpīgu.
Daļa no šiem AI ziņojumiem tomēr nes labumu. Stenberg atzīst, ka daži no tiem ir palīdzējuši atrast un salabot reālas kļūdas, kaut arī tās nebija drošības ievainojamības. Pati tehnoloģija nav problēma. Grūtības rada apjoms: cilvēkam jāizlasa katrs ziņojums, lai saprastu, vai tas ir īsts. Nederīga ziņojuma noraidīšana bieži prasa vairāk laika nekā tā uzrakstīšana.
“Mums nepieciešama atpūta. Mēs negaidām, ka šī plūsma būs beigusies,” raksta Stenberg.
curl nav vienīgais
Pauzei pievienojies vēl vismaz viens projekts. XML parsētāja libexpat uzturētājs Sebastian Pipping paziņoja, ka arī libexpat līdz 1. augustam nepieņems jaunus ievainojamību ziņojumus. Komanda turpinās strādāt pie jau zināmām nelabotām kļūdām un gatavot nākamos laidienus. Pipping piebilst, ka AI ziņojumu kvalitāte pamazām uzlabojas, bet apjoms paliek grūti pārvaldāms.
curl bezmaksas ievainojamību atlīdzības programmu izstrādātāji slēdza jau šā gada sākumā, tieši to pašu AI ziņojumu plūdu dēļ. Kad par atrastu kļūdu solīta nauda, motivācija iesniegt automātiski ģenerētu tekstu pieaug. Jūlija pauze ir nākamais solis tajā pašā virzienā: mazināt slodzi, ko rada mašīnas radīti ziņojumi.
Ko tas maina uzturētājiem
Nelielai komandai, kas uztur programmatūru miljardiem ierīču, katru nedēļu jāizvērtē ziņojumi, kuru lielākā daļa izrādās nederīga. Šis darbs atņem laiku reālai izstrādei un rada izdegšanas risku. curl gadījums rāda, ka bezmaksas kļūdu ziņošana atvērtā koda projektos kļūst par slogu, kad tajā iesaistās automātiski ģenerēti teksti. Tā pati automatizācija, kas paātrina uzbrukumu meklēšanu, pārceļ pārbaudes izmaksas uz cilvēku, kurš ziņojumu lasa.
Stenberg risinājums ir vienkāršs: uz mēnesi aizvērt durvis un atgūt spēkus. Citi projekti vēro, vai šāda pauze palīdz. Ja plūsma pēc augusta atgriezīsies tikpat spēcīga, uzturētājiem būs jāmeklē ilgtspējīgāks risinājums, piemēram, stingrāka iesniegumu filtrēšana vai maksa par ziņojuma izskatīšanu. Pauze beidzas 3. augustā plkst. 9.00 pēc Viduseiropas laika. Tad HackerOne forma atkal atvērsies.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.