Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атака на инфраструктуру PyTorch, компрометирующая репозиторий и релизы"	+/–
Сообщение от opennews (?), 12-Янв-24, 10:36
Раскрыты детали атаки на инфраструктуру, используемую при разработке фреймворка машинного обучения PyTorch, позволившую извлечь ключи доступа, достаточные для размещения произвольных данных в репозитории с релизами проекта в GitHub и AWS, а также для подстановки кода в основную ветку репозитория и добавления бэкдора через зависимости. Подмена релизов PyTorch могла использоваться для осуществления атаки на крупные компании, такие как Google, Meta, Boeing и Lockheed Martin, использующие PyTorch в своих проектах. В рамках программы  Bug Bounty компания Meta выплатила исследователям $16250 за информацию о проблеме... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=60424
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от AKTEON (?), 12-Янв-24, 10:36	–4 +/–
Ну-ну. И что  дальше делать будем ??  Предлагаю пускать на github только сотрудников  от компаний с уставным капиталом от 10 млн$ со справкой о политической благонадежности,хе-хе
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9

2. Сообщение от Tron is Whistling (?), 12-Янв-24, 10:43	+1 +/–
Прачечная в прачечной - это мило.
Ответить | Правка | Наверх | Cообщить модератору

5. Сообщение от Аноним (5), 12-Янв-24, 12:13	+/–
1. Зачем токену раннера, который GH выдаёт пайплайнам, выполняющимся при PRах, вообще выданы разрешения писать в репозиторий или читать конфиденциальную информацию? Такие разрешения должны выдаваться только пайплайнам главной ветки, да и то при явном согласии владельца. 2. pytorch не хостит релизы на GitHub, они их хостят на своём сайте.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

6. Сообщение от Аноним (6), 12-Янв-24, 12:37	+3 +/–
>для осуществления атаки на крупные компании, такие как Google, Meta, Boeing и Lockheed Martin Там ещё и Tesla: https://www.youtube.com/watch?v=oBklltKXtDE p.s.: Ну думаю все понимают откуда ноги растут...
Ответить | Правка | Наверх | Cообщить модератору

9. Сообщение от YetAnotherOnanym (ok), 12-Янв-24, 14:10	–5 +/–
Ничего. "Языков, лёгких в освоении и использовании" быть не должно, но бизнесу нужны именно они.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #15

11. Сообщение от Бывалый смузихлёб (?), 12-Янв-24, 15:16	+/–
где-то тут должны быть шутки вроде про лифпад, но, постойте-ка, это же богоугодный пихон и про него так нельзя, а то вдруг школьники обидятся
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16, #20

12. Сообщение от пох. (?), 12-Янв-24, 15:29	–2 +/–
> Зачем токену раннера, который GH выдаёт пайплайнам, выполняющимся при PRах, вообще выданы > разрешения писать в репозиторий а откуда берется по твоему то что тестировать? Из него, родимого. И нет, это не основное дерево, разумеется, это твой васянский форк. Прикол в том что ты можешь тестировать свой васян-форк на энтер-прайсных серверах (ну правда надо исхитриться до этого прислать васян-патч который ентер-прайс радостно склюет, что в целом не так легко, но технически - возможно, код - ентер-прайсный, а значит он г-но) А читать ему надо потому что оно исполняется внутри закрытого контура производителя himars (например). Ну континиус же ж дезинтегрейшен - чего терять время на рассмотрение твоего багфикса если он даже не запускается (у нас, а не где-то в сферическом вакууме) > pytorch не хостит релизы на GitHub пофигу на релизы - в них никто ничего и не меняет. не пофигу на то что патчи исполняются шитхабом. А вот у шитхаба есть доступ в закрытые контуры очень серьезных ребят (кто бы мог опять подумать и было ли ему чем) Т.е. ты свой код внезапно взял и у них там исполнил. Уже можно не добиваться его включения в мэйнлайн, да и неудобно с (c)товарищмаёр - просто откати комит "ну не получилось чего-то".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #13

13. Сообщение от Аноним (13), 12-Янв-24, 15:57	–1 +/–
>а откуда берется по твоему то что тестировать? Из него, родимого. Не клоунадь. Код в репозитории доступен без аутентификации публично. Так же, как и часть инфы. Другая часть инфы доступна при аутентификации для записи и чтения. Напр. списки заланенных пользователей. Третья часть доступна для чтения публично, а запись - только по токену. Напр. запись в репозиторий, публикация и редактирование релизов, редактированиети публикация комментариев. Гитхаб для каждого пайплайна генерит токен с полномочиями на этот репозиторий. Как так получилось, что при запуске пайплайна для чужого PR этот пайплайн получил права, отличные от прав того пользователя, кто сделал PR?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

15. Сообщение от Аноним (15), 12-Янв-24, 16:37	+/–
Ну точно, с кодом на крестах такого случиться не могло.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #22

16. Сообщение от Аноним (15), 12-Янв-24, 16:38	+/–
Такими темпами и до сишкохульства недалеко.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

17. Сообщение от Аноним (17), 12-Янв-24, 17:18	–1 +/–
> Для получения статуса активного разработчика в ходе эксперимента использовались незначительные косметические изменения, связанные с устранением опечаток в документации. Бойтесь данайцев дары приносящих. Опенсорс убивают не корпорации, а вот такие инциденты, подрывающие доверие к самой модели. И никакой код ревью тут не спасёт, всего не предусмотришь, соломки везде не подстелишь.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18

18. Сообщение от 1 (??), 12-Янв-24, 17:52	+/–
А причём тут open source ? Качай tar-ы и проверяй хеш файла и будет тебе щастье. Это всё про CI/CD
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

20. Сообщение от Аноним (20), 12-Янв-24, 20:25	+/–
> тут должны быть шутки вроде про лифпад, но, постойте-ка, это же богоугодный пихон @ Дальше загаловка не читай. @ Искрометный юмор пиши. 🤡
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

22. Сообщение от YetAnotherOnanym (ok), 13-Янв-24, 15:38	+/–
Вот именно таких детских косяков на крестах ты много знаешь?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема