Anil Madhavapeddy, a Cambridge Egyetem számítástechnikai professzora és az OCaml fordító kulcsfontosságú karbantartója közzétett megfigyelése szerint a nyílt forráskódú projektekben megosztott javítócsomagokról vagy hibajegyekről szóló viták után perceken belül már kísérletek is történnek a sebezhetőségek kihasználására. Madhavapeddy saját posztjában arra hívja fel a figyelmet, hogy egyes webhelyek nagyjából tíz percen belül kapnak olyan vizsgálatokat, amelyek például százalék-kódolt (percent-encoded) könyvtárátlépésekre irányulnak, ami automatizált figyelők jelenlétére utal.
Mi történt pontosan
- Madhavapeddy szerint korábban az ilyen felfedezések napokat vettek igénybe, és egy kiadás egy-két héten belül reális volt. Most viszont arról számol be, hogy a nyilvános megbeszélések rövid híre is elegendő ahhoz, hogy azonnal célba kerüljenek a kapcsolódó források.
- A posztban szerepel az is, hogy kontrollált kísérleteiben modernebb kódoló ügynökök (coding agents) képesek voltak megtalálni a hibákat pusztán a legkisebb információmorzsák alapján; említést tesz arról is, hogy amikor egyes modellek, például Claude Fable nem teljesítettek, DeepSeek V4 Pro-ra váltott.
Használói tapasztalatok és egyéb projektek
Nick Craig-Wood, a rclone projekt karbantartója a Hacker News hozzászólásai között megerősítette, hogy hasonló problémát tapasztalnak. Elmondása szerint az első tíz évben mintegy 20 biztonsági bejelentést kaptak a GitHubon keresztül, míg az elmúlt hónapban több mint 40-et kellett kezelniük. Craig-Wood szerint ezek kezelése jelentős időt vesz el tőle, még akkor is, ha AI-eszközöket használ triázshoz és javítások előkészítéséhez. Hozzátette, hogy a bejelentések sikerességi aránya körülbelül 75% — azaz a jelentések többsége ténylegesen tartalmaz valamilyen érdemi vizsgálatot igénylő információt.
Következmények az ügykezelésre és CVE-folyamatokra
Craig-Wood rámutatott, hogy a GitHub korábban 2–3 nap alatt rendelt CVE-azonosítókat a tanácsokhoz (advisories), de a mostani terhelés miatt ez az idő 3–4 hétre nőtt. Ennek következtében kénytelenek pontkiadásokat úgy megjelentetni, hogy a changelogban CVE-PENDING szerepel, ami nem ideális gyakorlat a biztonsági kommunikációban.
Miért fontos ez
A jelenség azt mutatja, hogy a generatív AI és az automatizált figyelőrendszerek jelentősen felgyorsíthatják a sebezhetőségek felismerését és a kihasználási kísérleteket. Ez kihívást jelent a meglévő nyílt forráskódú bejelentési gyakorlatok és zárkózott (embargo) folyamatok számára: ha egy hiba percek alatt kihasználhatóvá válhat, új eljárásokra van szükség a közösségek védelméhez és a koordinált felelősségteljes bejelentésekhez.
Következő lépések a közösség számára
A hozzászólók és karbantartók szerint érdemes újra átgondolni az érzékeny hibák kezelésének folyamatait, beleértve a koordinált közzétételt, a gyorsabb biztonsági reagálást és a nagy forgalmú projektek adminisztrációs támogatását, hogy csökkentsék a túlterhelés miatti késedelmeket. Az érintett projektek tapasztalatai rávilágítanak arra, hogy a technológiai fejlődés gyors üteme miatt adminisztratív és műszaki védekezési mechanizmusokat is frissíteni kell.
