ARS se ha comunicado con Hackerone para hacer comentarios y actualizará esta publicación si recibimos una respuesta.

“Más herramientas para derribar este comportamiento”

En una entrevista con ARS, Stenberg dijo que estaba contento de que su publicación, que generó 200 comentarios y casi 400 repeticiones hasta el miércoles por la mañana, se estaba moviendo. “Estoy muy eficaz de que el problema (esté recibiendo) atención para que posiblemente podamos hacer poco al respecto (y) educar a la audiencia que este es el estado de las cosas”, dijo Stenberg. “LLMS no puede encontrar problemas de seguridad, al menos no como si estuvieran utilizados aquí”.

Esta semana ha trillado cuatro informes de vulnerabilidad equivalentes y generados por IA que aparentemente buscan fondos de reputación o retribución de errores, dijo Stenberg. “Una forma en que se puede opinar es que siempre es un mensaje tan agradable. Amable, inglés, inglés valentísimo, educado, con bonitos puntos de bala … un humano global nunca lo hace así en su primera escritura”, dijo.

Algunos informes de IA son más fáciles de detectar que otros. Uno accidentalmente pegó su aviso en el mensaje, dijo Stenberg, “y lo terminó con ‘y hacía que suene amenazador'”.

Stenberg dijo que había “hablado con (Hackerone) ayer sobre esto” y que se ha comunicado con el servicio esta semana. “Me gustaría que hicieran poco, poco más musculoso, que actúen sobre esto. Me gustaría la ayuda de ellos para mejorar la infraestructura (herramientas de IA) y darnos más herramientas para atacar este comportamiento”, dijo.

En los comentarios de su publicación, Stenberg, intercambiaba comentarios con Tobias Heldt de la firma de seguridad de código hendido Xorsugirió que los programas de retribución de errores podrían usar “redes e infraestructura existentes”. Los reporteros de seguridad que pagan un bono para que revise un mensaje “podría ser una forma de filtrar las señales y someter el ruido”, dijo Holdt. En otra parte, Stenberg dijo que si correctamente los informes de IA “no nos ahogan, (la) tendencia no se ve correctamente”.

Stenberg ha blogueó en su propio sitio sobre informes de vulnerabilidad generados por IA, con más detalles sobre cómo se ven y lo que se equivocan. Seth Larson, desarrollador de seguridad en residencia en la Python Software Foundation, agregó a los hallazgos de Stenberg con sus propios ejemplos y acciones sugeridascomo anotado por el registro.

“Si esto le está sucediendo a un puñado de proyectos para los que tengo visibilidad, entonces sospecho que esto está sucediendo a gran escalera para proyectos de código hendido”, escribió Larson en diciembre. “Esta es una tendencia muy preocupante”.