curl 8.23, çoğu AI ile bulunup insanlar tarafından doğrulanan 24 güvenlik düzeltmesiyle geliyor

curl 8.23.0, 24 güvenlik düzeltmesiyle geliyor

curl 8.23.0, 24 güvenlik düzeltmesiyle yayımlandı ve arkasındaki hikâye, AI'ın hata bulmasından çok, makinelerin ürettiklerinin değer sayılabilmesi için çevresinde nelerin olması gerektiğiyle ilgili. dev.to'da yayımlanan bir analize göre, sorunların çoğuna AI yardımıyla ulaşıldı — ve hepsi, CVE haline gelmeden önce insan incelemecilerden geçti.

curl 8.23.0, 24 güvenlik düzeltmesini sunuyor

Sürümla birlikte 24 güvenlik düzeltmesi geliyor, diye bildiriyor dev.to yazısı. AISLE adlı güvenlik araştırması grubu, bunlardan 18'inin kaynağı olduğunu belirtiyor. Yüksek (High) olarak derecelendirilen tek sorun — HTTP/2 yükleme yolunda bir use-after-free — Anthropic'in yeni yayımladığı açık kaynak tarama aracını kullanan bir Anthropic araştırmacısından geldi. curl ekibi sorunu saatler içinde doğruladı ve düzeltmeyi çıkarmak için sürüm döngüsünü sekiz haftadan altı haftaya indirdi.

Gürültüden sinyale dokuz ay

Hikâyenin asıl meselesi, Ocak ayıyla olan karşıtlık. O zamanlar curl, düşük kaliteli gönderimlerin sürüsü nedeniyle bug bounty programını kapatmıştı; proje sürdürücüsü Daniel Stenberg, amacın AI kaynaklı olsun ya da olmasın zayıf araştırılmış raporları ödüllendirmeyi bırakmak olduğunu söylemişti. Programın son haftasında yedi rapor geldi ve hiçbiri gerçek bir güvenlik açığını tanımlamıyordu.

Aynı proje, aynı araç sınıfı, aradan geçen dokuz ay — bir tur, bir ödül programını kapatacak kadar gürültü üretti; diğeri gerçek CVE'ler üretti. dev.to yazarına göre fark modelde değil, süreçteydi.

İnsan kontrolleri nerede duruyor

dev.to'ya göre AISLE'nin iş akışı, herhangi bir şey gönderilmeden önce raporun tamamına bir güvenlik araştırmacısını oturtuyor. Ardından curl'ün kendi güvenlik ekibi, davranışın gerçek olup olmadığına, projenin güvenlik politikasını ihlal edip etmediğine, ne kadar ciddi olduğuna ve bir CVE'yi hak edip etmediğine karar veriyor. Bir şeyin sayılması için, iki tarafta birer tane olmak üzere iki insan kapısı var.

Stenberg, AISLE'nin gönderimlerini becerili insanlar tarafından desteklenen ayrıntılı ve doğru çalışmalar olarak tanımladı ve projenin şu anda hiç olmadığı kadar hızlı güvenlik açıklarını kapattığını söyledi. Ocak raporları ise ilk kapıyı tamamen atlamıştı: birileri bir araç çalıştırdı, kulağa makul gelen bir şey elde etti ve iletti — doğrulama maliyetini küçük bir sürdürücü ekibin üzerine yıktı.

Anthropic'in filtrelenmemiş veri seli

dev.to yazısına göre 8 Ekim'de Anthropic, açık kaynak sürdürücüleri için, açıkça filtrelenmemiş çıktı sunan bir kayıt tabanlı tarama hizmeti açtı: tamamen model tarafından üretilmiş, insan incelemesi ya da önceliklendirme olmadan. Anthropic, kendi altı aylık taramasının 29.000'den fazla aday güvenlik açığı ürettiğini, bunların yaklaşık 6.000'inin elle incelendiğini söylüyor.

dev.to yazarı bunu kötü bir şey olarak görmüyor — hizmet ücretsiz, kayıt tabanlı ve dürüstçe etiketlenmiş — ancak önceliklendirme yükünü kayıt olan tarafa yüklediğini belirtiyor. İlk insan kontrolü, sürdürücünün işi haline geliyor.

Yazıya göre iki başarısızlık biçimi tekrarlanıyor. Ajanlar bulgu uyduruyor: bir modelden güvenlik açığı araması istendiğinde, kulağa makul gelen, başlığı ve bazen de bir önem derecesi olan bir şey üretiyor. Ve ajanlar alanları güvenli ilan ediyor; oysa gerekçeli bir olumsuz sonuç yalnızca "buraya daha fazla zaman harcama" anlamına gelir, denetimin tamamlandığını değil. Her ikisini de yakalayacak kadar kodu iyi tanıyan biri, ucuzlamayan darboğaz olmaya devam ediyor.

Neden önemli

curl vakası, artık herkese açık bir kod tabanına sahip her projenin karşılaştığı soruya çalışan bir cevap: AI tarayıcı çıktısıyla ne yaparsınız? curl'ün yaklaşımı — doğrulanmamış hiçbir şeyi ödüllendirme, incelenmiş işi ise hevesle kabul et — bir araç hikâyesini güvenlik başarısına çevirdi ve 24 düzeltme kısaltılmış bir döngüyle yayımlandı. Pratik dersler genellenebilir: yeniden üretimi olmayan bir bulgu, bulgu değil ipucudur; önceliklendirme, taramadan daha fazla saat tutar; çöpe atılan sonuçlar yazılı bir gerekçeyi hak eder, çünkü güven varsayımları değişir; ve bir kod yolunun temiz taranması diğerleri hakkında hiçbir şey söylemez. Araçları çalıştırmak artık ucuz kısım. Kodu tanıyan insan ise pahalı kısım — ve korunmaya değer olan kısım.