Блог*

54 из 55 выявленных через AI уязвимостей в SQLite оказались фиктивными https://www.opennet.ru/opennews/art.shtml?num=66023

Исследователи из компании JFrog проанализировали опубликованные на днях 55 отчётов об уязвимостях в SQLite. На основании данных отчётов организация MITRE присвоила всем проблемам CVE-идентификаторы. Три проблемы получили статус критических, а самой опасной уязвимости (CVE-2026-51302) компания Red Hat присвоила в своих базах уровень 10 из 10, а SUSE - 9.8 из 10. Детальное изучение заявленных ошибок показало, что 54 из 55 уязвимостей, включая отмеченную критическую проблему, являются фикциями и вызваны галлюцинациями AI-модели. В самой опасной уязвимости было заявлено обращение к памяти после её освобождения в функции exprComputeOperands(), приводящее к возможности выполнения кода при выполнении специально оформленного запроса. Разбор показал, что данной функции не существует в кодовой базе SQLite 3.41, в которой заявлено наличие проблемы (данная функция появилась значительно позднее). Источником возникновения уязвимости было заявлено оставление висячего указателя в функции sqlite3ReleaseTempReg(), но её логика работы не подразумевает освобождением памяти и ограничивается пометкой памяти для повторного использования, что исключает возникновение проблем класса use-after-free в силу архитектуры. В других заявленных опасными проблемах аналогично упоминались несуществующие файлы и функции, строки кода не имеющие ошибок или реальные функции, но с другим числом аргументов. Заявленные в отчётах ошибки не подтвердились, а проверка приведённых прототипов эксплоитов показала, что все они нерабочие и не вызывают даже аварийное завершение, несмотря на заявления о возможности выполнении кода через отправку SQL-запроса. При выделении CVE-идентификаторов уязвимостям и оценке уровня опасности организация MITRE не выполняет реальную проверку, что позволяет любому подать заявку на несуществующую проблему, отправив сфабрикованное описание. Подобные реалистично выглядящие, но фиктивные отчёты о критических проблемах, приводят к замусориванию баз данных с информацией об уязвимостях и пустой трате времени на изучение и попытки исправления несуществующих уязвимостей. При использовании AI для разработки исправлений, AI-агент на основе предоставленного описания несуществующей ошибки может подготовить патч, принятие которого приведёт к внесению ненужных изменений.

Оригинал SQLite Critical CVEs or LLM Slop? https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/ Но вообще SQLite ебейшего качества продукт, люблю его https://t.me/tech_b0lt_Genona/4832

Есть только два один верный гендер #гендер

#kbd

#prog #rust Enabling the next iteration of the borrow checker on nightly Несколько урезанную версию Polonius наконец довели до адекватного состояния по производительности и начали использовать по умолчанию на nightly, с планами стабилизировать в ближайшем будущем! 🎉 Для тех, кто не следит столь пристально за Rust: Polonius alpha — новая версия borrow checker-а, которая является flow sensitive и потому разрешает больше корректных паттернов кода, чем сегодняшний компилятор.

Мы или не мы

#prog #rust #article Query cycles: A compiler murder mystery Или как сделать баг настолько мощный, что отваливаются отладочные инструкцииы.

Ну #politota #meme

Недавно вот выложил вакансию в группу ФКНа, и мне написал довольно прикольный челик с крутым резюме, но как я вчитался в него — сразу понял, что это просто копипаста с вакансии. И вот я решил проверить у него мат часть про популярные скоринговые модели с названиями "Ясасу Бибу" и "Цист Яна" а также про жесткую теорему шторм спирита. Ответ убил.

Darths&Droids — комикс из кадров фильмов франшизы Star wars, который рассказывает о том, как бы эта история выглядела бы, если бы она была кампанией в TTRPG. Комиксу 20 лет, если что, и начинает он с эпизода I.

Прошло два месяца лета. Вы уже сделали две трети того, что запланировали на лето?

Re: The Economic Benefit of Refactoring I find it funny how the best practices for programmers, ignored in most IT companies, get reinvented as the best practices for AIs. Boring: The documentation should be in code, not in external Word documents uploaded to the company SharePoint server. Exciting: The documentation for the AI should be in code, not in external Word documents uploaded to the company SharePoint server. Boring: You should give your developers the big picture of the project, not just micromanage them using Jira tasks. Exciting: You should give your AI the big picture of the project in CLAUDE.md, not just micromanage it using prompts. Boring: Refactoring makes your developers more productive in long term. Exciting: Refactoring makes your AI more productive in long term. Viliam1234, 13 hours ago

#prog #rust #video (Greg Kroah-Hartman, конечно, скромничает, но его мнение, как человека, через которого проходят все CVE в Linux, имеет достаточно большой вес) youtube.com/watch?v=Nzmj7K0FNRY

#prog #rust #article How to speed up the Rust compiler in July 2026

🇦🇫😈

Когда Дурова арестовали во Франции, на канале Соловьева звучали слова, что обвинения в терроризме это «стандартный рабочий набор, когда нужно привязаться». Вот и у нас теперь решили «привязаться». КМБУ.

Вот это, кстати, не Telegram на скриншотах 🌝 Видео взял отсюда https://t.me/rt_russian/287679

Основателю Telegram Дурову предъявлено обвинение в содействии терроризму в РФ. Что известно https://iz.ru/2140344/fsb-prediavila-obvineniia-durovu-v-sodeistvii-terrorizmu-chto-izvestno-izi

Основателю мессенджера Telegram Павлу Дурову предъявлено обвинение по делу о содействии террористической деятельности Украины, он объявляется в международный розыск. Уголовное дело связано с расследованием деятельности популярного у молодежи Telegram-бота «Дайвинчик/Leo — знакомства, общение и новые друзья» ... Поводом для уголовного дела в отношении предпринимателя стало расследование деятельности чат-бота для знакомств «Дайвинчик/Leo — знакомства, общение и новые друзья» в Telegram. Ранее этот бот был внесен в Единый реестр запрещенной информации Роскомнадзора из-за материалов, относящихся к детской порнографии и пропаганде ЛГБТ (международного движения, признанного экстремистским и запрещенного в РФ). По данным следствия, украинские спецслужбы с помощью сервиса вовлекали российских граждан в диверсионно-террористическую деятельность. В ФСБ подчеркнули, что администрация Telegram не удалила запрещенную информацию, а также еще ряд каналов, чатов и ботов, которые используются украинскими спецслужбами, террористическими и экстремистскими организациями для подготовки диверсий, терактов и кибермошенничества. Сотрудники украинских подразделений создавали аккаунты под видом девушек и вступали в общение с молодыми россиянами через «Дайвинчик». В развитие романтических отношений молодые люди присылали геолокацию желаемого места встречи, как правило, в крупном торговом центре либо вблизи социально значимого объекта, а также оплачивали «девушкам» билеты в кино, на концерты или подарки по направленным фишинговым ссылкам. После этого с жертвами обмана связывались лица, представлявшиеся сотрудниками российских правоохранительных органов или Росфинмониторинга. Злоумышленники сообщали гражданам о якобы переводе средств в пользу Вооруженных сил Украины и использовании переданных координат для подготовки ракетных и беспилотных атак на объекты в России. После этого россиян путем психологического давления склоняли к совершению поджогов и нападений под предлогом участия в «проверках антитеррористической защищенности объектов» и псевдооперативных мероприятиях.