| |
| 2.36, Аноним (36), 12:12, 13/11/2026 [^] [^^] [^^^] [ответить]
| –4 +/– | |
С теми, кто не преходит на раст и воет про "нейрослоп", по-человечески нельзя. Нужно просто выполнять эмбарго на разглашение уязвимостей, а потом сливать в паблик.
И потом уже пусть разбираются слоп не слоп.
| | |
| |
| 3.43, Смузихеб забывший пароль (?), 13:05, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
эмбарго - это политическое ограничение и в контексте кода в принципе некорректно
есть ведь слова вроде: ограничение, запрет, блокировка, итд-итп
| | |
|
|
| 1.3, Grunman (ok), 10:27, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +14 +/– |
 В общем, нейросеть нанейрослопила отчеты о уязвимостях, и только 2 из 7349 оказались реальными. Типично...
| | |
| |
| 2.7, xPhoenix (ok), 10:40, 13/11/2026 [^] [^^] [^^^] [ответить]
| –7 +/– |
 Сильное заявление. Допустим, зафиксирован взлом 30 серверов. Значит ли это, что остальные серверы никто не взламывал?
Отсутствие доказательств взлома не означает что его не было.
| | |
| 2.9, Сталин (?), 10:43, 13/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Люди совсем разучились читать 🤦
> Исправленными помечены 217 из публично раскрытых отчётов о проблемах
Это количество проблем, которые 100% подтверждены как проблемы, потому что их пришлось исправить
> 1654 признаны дубликатами
Это значит, что эти проблемы уже были известны. Их тяжесть мы не знаем, но проблемы уже были раньше найдены
> 419 отозваны
По всей видимости это и есть реальное количество проблем, которые проблемами не являются. С точки зрения людей, которые их изучали, конечно. А то, как выясняется про php2shell было известно два года, но проблемой это не считалось.
> и лишь для 2 проблем выявлено применение в реальных атаках злоумышленников.
А это значит, что эти две проблемы кто-то уже в атаках использовал.
| | |
| |
| 3.16, Аноним (16), 11:06, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
>Люди совсем разучились читать 🤦
Так сингулярность давным давно достигнута. LLM уже умнее среднего человека, всё что могло произойти уже произошло.
| | |
| |
| 4.23, Ivan_83 (ok), 11:17, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Какая именно LLM?
У меня их на диске с десяток валяется, а на хагингтонморде их десятки тыщ лежат.
Точно могу сказать что gemma e4b хуже джамшута :)
| | |
| |
| 5.49, Аноним (16), 13:33, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>Какая именно LLM?
Вы ставите вопрос неправильно. Нужно не про LLM спрашивать, а про человека. Поскольку когда в новости про "217 исправленных уязвимостей" человек пишет про "2 реальных". А ведь именно такие персонажи и пишут код на си, отчаянно не желая учить зависимые типы.
| | |
| |
| |
| 7.64, Аноним (64), 14:55, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Чтобы больше не было такого позора - "За семь месяцев существования проекта было выявлено 37966 проблем"
| | |
|
|
|
|
|
| 2.29, анна нимовна (?), 11:46, 13/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
>и только 2 из 7349 оказались реальными
2 оказались насколько тривиальными, что даже детишки смогли воспользоваться.
| | |
|
| 1.5, piteri (ok), 10:29, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
 >число дубликатов и отозванных отчётов в 9.5 раз превышает число исправленных проблем
Чем это отличается от работы обычного стат анализатора?
| | |
| |
| 2.8, xPhoenix (ok), 10:42, 13/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Может ли статический анализатор тут же собрать эксплойт и проверить его работоспособность? А эти штуки могут.
| | |
| |
| 3.14, Аноним (13), 10:57, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
ему и не нужно, давно пора зарубить на носу, что любая проблема связанная с нарушением памяти - критическая проблема безопасТности!!! Эксплуатируется, ой не эксплуатируется - это оставьте д**м, которые не шарят за эксплоитинг, любую проблему с памятью можно заэксплоитить в собственных нуждах!!!
| | |
|
| 2.17, Аноним (16), 11:07, 13/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
>Чем это отличается от работы обычного стат анализатора?
Ничем. Сишники ненавидят писать качественный код, и именно по этому ни статических анализаторов, ни перехода на языки вроде ATS до сих пор не случилось.
| | |
| |
| 3.21, Ivan_83 (ok), 11:15, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Такое ощущение что у вас С не получилось осилить и потому так пригорает :)
| | |
| |
| 4.25, Аноним (25), 11:22, 13/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> у вас С не получилось осилить
А покажите у кого получилось!
Обожаю байки про мифических Настоящих СИшников которые смогли :-)
| | |
| 4.31, Любитель хентая (?), 11:49, 13/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Сишный код сложно сопровождать (особенно, если он написан разными людьми в разное время), глупо с этим спорить. Сишка по читаемости - один из худших языков. Не зря в критической инфраструктуре используют Ada, который максимально человекочитабелен.
| | |
| |
| 5.33, Ivan_83 (ok), 11:59, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Линукс, фря - как то себе уже не первый десяток лет живут и развиваются...
Читабельность зависит исключительно от того кто пишет, так же как читабельность художественных текстов.
| | |
| |
| 6.66, Аноним (64), 14:57, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Линукс - это в котором сотнями каждый месяц находят новые CVE из-за памяти?
| | |
|
|
| 4.51, Аноним (16), 13:40, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>у вас С не получилось осилить
Проблема си не в том, чтобы его осилить. Проблема си в том, что если на си написать заведомо ошибочную программу, она скомпиллируется. Linux, BSD, Nginix, PHP и куча других проектов не дадут соврать.
| | |
| |
| 5.55, Ivan_83 (ok), 14:00, 13/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Заведомо ошибочную написать можно на чём угодно.
Чтобы вы понимали индустрия давно перешла от стремления к безошибочности к минимизации ущерба.
Сейчас есть все средства чтобы полное RCE гонять в инете или даже давать всем по ссш рута без пароля и при этом не иметь никаких последствий.
От сюда и всякие многослойные защиты и куча независимых механизмов безопасности и усложнения экплуатации.
Другое дело что обычный одмин и средний меинтейнер и популярные дистры не пользуются и 10% от всего этого, по причине того что это усложняет работу и повышает ломкость.
| | |
| |
| 6.58, Аноним (13), 14:32, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> От сюда и всякие многослойные защиты и куча независимых механизмов безопасности и усложнения экплуатации.
Это все дело техники и навыков эксплоитера. В архитектуре Фон Неймана, любая ошибка работы с памятью - фатальна!!!
| | |
| |
| 7.62, Ivan_83 (ok), 14:43, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Вы не правильно смотрите на это.
Есть рентабельность хака: хорошо защищённые цели хакать экономически не выгодно, как пример вон щиткойн который потребует кучи брута крипты, что не окупится.
С более простыми целями аналогично.
Когда у вас настроено по методичке из книжки, то любая проблема с пхп кодом приводит к выполнению кода злоумышленника за одно-два действия, и так же в одно действие компроментируется вся система.
Когда пхп зажат то вы умотаетесь там свой код запустить, а когда запустите получите максимум доступ только к тому к чему пхп имел доступ - и он будет минимальным: файлы пхп и файлы данных которые он обрабатывал, ну и одна-несколько бд куда оно лазало. В систему вы или совсем не пролезете или это отнимет ещё тонну усилий.
| | |
| |
| 8.74, нах.. (?), 15:37, 13/11/2026 [^] [^^] [^^^] [ответить] | +/– | чуваки, свалившие в туман с полтора ярдами Бинанса - ну да, ну да, ага а автор ... текст свёрнут, показать | | |
|
|
|
|
|
|
| 2.22, Ivan_83 (ok), 11:16, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
У этого есть рассуждения, оно находит ошибки далеко за пределами статического анализа.
| | |
|
| 1.6, Noknok (?), 10:32, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
Очередное поимение OpenSource, только теперь как рекламной площадки.
| | |
| 1.11, Аноним (12), 10:53, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
Вообще, главная проблема ИИ - недетерминированность, когда нейронка при каждом прогоне находит разные "уязвимости" и так бесконечно. Причем, обосновывает она их очень правдоподобно, если не быть программистом и не знать контекста бизнес-логики программы. Даже ТОПы от Anthropic грешат этим (которые стоят дохуха).
| | |
| |
| 2.19, Ivan_83 (ok), 11:11, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Это да, приходится часто читать код параллельно с чтением слопа нейронки.
Но сказать что оно всегда врёт тоже не могу, иногда чтобы понять в чём проблема приходится подумать.
Некоторые проблемы оказываются из серии wontfix, потому что оно не проявляется и не мешает.
| | |
| |
| 3.63, Марк Шаттлврот (?), 14:48, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Некоторые проблемы оказываются из серии wontfix, потому что оно не проявляется и не мешает.
Ага, и получить в итоге очередной php2shell
| | |
| |
| 4.71, Ivan_83 (ok), 15:03, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
В случае с пхп проблема в том, что он не обвешан защитой у большинства одминов.
Читай на риск манагемент положили с прибором.
Надеятся на то что у тебя не будет ошибок - наивно и глупо.
| | |
|
|
|
| |
| 2.20, Ivan_83 (ok), 11:14, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Не думаю что всё так плохо.
Оно же может и тесты налабать и само проверить.
Притом в отличии от человека который: "о, это я вчера писал, что тут проверять - ошибок точно нет!" оно реально посмотрит на это как впервый раз на чужой код.
| | |
| |
| 3.26, Смотрящий (?), 11:23, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> оно реально посмотрит на это как впервый раз
Так это не вайбкодинг, а AI-powered code review. Здесь ИИ как раз наоборот - очень полезен.
| | |
| 3.35, vvb333007 (?), 12:07, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ах если бы. Я тут в такой навоз наступил, доверившись тестам.. Нагенерила мне хорощих тестов. Все проходят. А плохих - не нагенерила. И так несколько раз. Подгоняет задачу под ответ.
| | |
| |
| 4.41, Ivan_83 (ok), 12:56, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Зависит от нейронки.
Мне разные ЫЫ генерили разные тесты, в том числе и такие которые не работали/фейлились.
| | |
| |
| 5.56, Аноним (56), 14:13, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Зависит от нейронки.
> Мне разные ЫЫ генерили разные тесты, в том числе и такие которые не работали/фейлились.
Проблема в том, что при рефакторинге она и тест правит.
И без глубокого понимания ты не заметишь, что в итоге большая часть тестов ничего не проверяет. А она на основе их выводы делает.
И да. Для того, что бы можно было делать выводы по тестам, надо что бы они 100% были верными. С ИИ это не так.
| | |
| |
| 6.61, Ivan_83 (ok), 14:38, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это вы описываете tests driven development, есть ещё когда в начале спека пишется...
| | |
|
|
|
| 3.37, анонимс (?), 12:14, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Тесты налабать сведя их под нейроглючный код чтобы "проходили" - гениально. Именно так это происходит в финтех компании где ныне работаю - оно вроде бы работает, но никто уже не помнит и не знает как. Но вроде бы работает.
| | |
| |
| 4.46, Ivan_83 (ok), 13:22, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Как будто если ЫЫ убрать то проблемы исчезнут.
Всмысле это всё задолго до ЫЫ уже было, и код который давно низнает никто как работает и тесты которые непойми что тестируют (того кода под который их писали давно в проекте нет, но вместе с кодом выкинуть постестеснялись, просто как то поправили чтобы запускались и не падали...).
| | |
| |
| 5.57, Аноним (56), 14:15, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Всмысле это всё задолго до ЫЫ уже было, и код который давно низнает никто как работает и тесты которые непойми что тестируют (того кода под который их писали давно в проекте нет, но вместе с кодом выкинуть
Именно. Но это было в тех случаях, когда работу над проектом упустили. В других случаях такого не было. Все проекты с ИИ равны тем, где работу над проектом упустили.
То есть там где ИИ там по-любому в итогу будет полное ...
| | |
| |
| 6.60, Ivan_83 (ok), 14:37, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Технически сейчас есть движение когда пишется спека а потом по ней ЫЫ генерит код и тесты.
| | |
| |
| 7.73, нах.. (?), 15:07, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
plan mode называется. Угадай, кто при этом будет писать этот план, и кто его потом курит.
(оно конечно предназначено для того чтобы ты его сперва прочитал, но кто ж собирался читать "всякий нейрослоп"? Клава, запусти полсотни агентов sonnet (fable дорого!) и пусть окучивают согласно плану. А я пойду еще перекурю!
"условие остановки - результат должен соответствовать AAA+ по всем критериям...выдумай их сама!"
| | |
|
|
|
|
|
|
| 1.24, Ivan_83 (ok), 11:18, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Не плохо бы ещё занести бабла за рабор всего этого слопа, а то не хорошо как то получается.
| | |
| |
| 2.27, Аноним (25), 11:24, 13/11/2026 [^] [^^] [^^^] [ответить]
| –6 +/– | |
Т.е на блюдечке приносят список мест в которых с весьма большой вероятностью овнокод, так еще и хотят чтобы за расковыривание своего же бракокода доплачивали?
Не, думаю за такую наглость надо просто пукбликовать эксплойты, пусть бракоделы отгребают.
| | |
| |
| 3.32, Ivan_83 (ok), 11:58, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Так если бы оно без фолспозитивов было, как минимум.
А так, вы почему что считаете что авторы кому то обязаны.
Опенсорц часто пилится за собственные средства, читай в свободное время когда есть силы и желание.
Кроме того огребать будут не авторы а пользователи: BSD/MIT/GPL и даже EULA не предполагает что авторы несут отвественность.
Сразу видно что у вас ничего на гитхубе нет куда приносят всякое и сами вы видимо никогда никуда issue/PR не заводили.
| | |
| |
| 4.40, Аноним (40), 12:56, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Так если бы оно без фолспозитивов было, как минимум.
Если бы оно было без фолспозитивов то доплачивали бы вы.
> читай в свободное время когда есть силы и желание
Да-да, расскажи это разабам нормальногот опенсорса на зарплате корпов.
Пососный опенсор от васянов в рассчет не берем, им и так лучше не пользоваться.
> Кроме того огребать будут не авторы а пользователи
Разумеется! И они же и будут виноваты что купили на байки про шво6одку, тыщщу глаз и прочее.
| | |
|
| 3.39, Ivan_83 (ok), 12:54, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Да, если говорить об энтерпрайзе то...
У хорошего энтерпрайза где всё в шоколаде может быть даже какая то небольшая комманда для разбора таких навалов, ну хотя бы одного гребца они могут выделить чтобы разгребал сидел, как минимум отсеил шлак и раздал приоритеты.
У обычного энтерпрайза работы расписаны на пол года-год вперёд, и тикеты могут приоритезироватся с точки зрения денег: какой клиент бабла больше занёс - того тикеты и важнее, даже если там передвинуть кнопку и покрасить в розовый.
Поэтому все эти находки ЫЫ могут лежать достаточно долго потому что они "бесплатные", а гребцы все заняты задачами за которые уплочено.
Да, их когданить разгребут, скорее всего когда кто то со стороны платных клиентов ткнёт пальцем и спросит: а вы нам это когда сделаете? И желательно будет напоминать/поллить статус каждые 2 недели.
Притом учитывайте что расписано там на перёд не просто так, это всё пообещали с одной стороны и ждут с другой стороны, и если бросить всё и сесть разгребать нейрослоп то получится не красиво ко всей цепочке.
| | |
| |
| 4.42, Аноним (42), 12:58, 13/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Энтерплайз быстрее и адекватнее реагирует на проблемы с безопасностью.
Плюс у него есть деньги посадить одного человека с клодом, чтобы они проходились по тикетам и пробовали заэксплойтить с полуавтоматическом режиме. Для них это копейки.
А вот как реагируют "свободные разработчики" прекрасно видели по реакции бракодела из либхмл2.
| | |
| |
| 5.45, Смузихеб забывший пароль (?), 13:15, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
ну знаем мы как ынтыпрайс реагирует
С изображением активной работы, безопасники с полыхащими жеп.. лицами запустили ажно целых несколько скриптов, которые, по сути, просто прогнали код по выявленным уязвимостям с известных ресурсов
А то, что логины-пароли сливаются хз куда и кому в рамках бизнес-логики и это не является дырой - так это норм, ведь не уязвимость. Так проггер и задумал
А, чтобы понять, что именно он задумал, потребуется ещё один, бОльшей квалификации, который будет следить и разгребать код конкретного проггера. За ЗП и за каждым проггером )
| | |
| |
| 6.52, Ivan_83 (ok), 13:49, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Энтерпрайз у которого безопасники могут в код - я бы сказал что редкость, может только у совсем крупняка.
Обычно безопасники это вахтёро-пользователи СКУД и недо админы - пользователи фаирвола и всяких интересных продуктов которые им успешно продали (и иногда положили на полку вместо внедрения).
В разработке такие если и учавствуют то только в роле вредителей, которые инторнеты и прочее рандомно блокируют и нипущают, так что разработчики часть рабочего времени тратят на героические преодоления и превозмогания от такой бизапасносте.
Положение реально спасают только требования ко всяким сертификациям, когда манагеры вынуждены реально выделять ресурсы на анализ того что есть и приведения к виду хотя бы среднему по индустрии в плане затягиывания болтающихся гаек, прибирания соплей и обновления древних либ про которые все давно забыли и забили.
| | |
|
| 5.48, Ivan_83 (ok), 13:32, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Я же написал - энтерпрайз есть сильно разный.
Попробуйте в МС зарепортить багу для пробы, а мы посмеёмся :)
Про деньги и одного человека - это ваши вымыслы.
Ни человек ни деньги в энтерпрайзе не существуют в вакууме, чтобы человека заалокейтить на задачу нужен манагер, и ещё пачка согласований, включая то что сроки по другим задачам могут сильно уехать, как я и писал выше.
Автор libxml2 никому ничего не должен.
Плюс там сам XML такой что лучше ему было не появлятся.
| | |
| 5.50, Ivan_83 (ok), 13:37, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
И да, не забывайте что энтерпрайз и сам умирает вместе с поделками и просто их рандомно закапывает когда ему надоедает.
Иногда это хоронит целые бизнесы или ставит их на грань смерти.
| | |
| |
| 6.54, Аноним (54), 13:57, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> И да, не забывайте что энтерпрайз и сам умирает вместе с поделкам
Все умирает, рано или поздно.
Вон создатель бесполезной бибикалки (ВИМ) взял и не подумав о проекте помер.
И всё, проект на грани исчезновения.
> Иногда это хоронит целые бизнесы или ставит их на грань смерти.
Наверное один из уроков которые выучивают успешные бизнесмены - диверсификация)
| | |
|
|
|
|
|
| 1.28, Аноним (28), 11:34, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
Типично для луддитов. Аналогично - нахожу критичные баги, которые буквально ломают и уничтожают данные продукта - пожимают плечами, дескать, "ну никто так делать с нашим продуктом не будет, фиксить не будем. И вот, вместо того чтобы идти дальше и заниматься полезной работой, приходится тратить ещё пару дней чтобы найти доказательный кейс со стороны обычного пользователя, который вызывает в точности эту проблему. А потом "ой, пук, оказывается надо было исправлять".
Так что, низкий процент фиксов = сопротивление луддитов.
| | |
| 1.59, нах.. (?), 14:36, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Ваще не вижу в чем там у них проблема?! "Клава, пометь все эти увизгвимости как закрытые!"
Вот что я называю эффективным использованием ЫЫ!
| | |
| 1.69, Аноним (69), 15:01, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ] | +/– | Тут систему надо менять Рыночную систему Рыночная система заставляет бизнес бы... большой текст свёрнут, показать | | |
|
