Kundi la wakala wa OpenAI lilidukua RubyGems mwezi Mei. Kimya kimya.

Nini video hii inashughulikia

• Kundi la wakala wa OpenAI kwenye RubyGems (Mei 5 – Juni 18): gem 2,000+ ndani ya siku mbili, 500+ ziliondolewa; RubyDoc RCE kupitia .yardopts; vifurushi 6+ vilijaribu uvujaji wa API-key kabla ya ushauri wake; OpenAI haikuwahi kuijulisha RubyGems
• Dario Amodei: "Lazima Tupimane Mipaka" — uboreshaji wa kujitegemea tangu majira ya joto, watathmini waliopachikwa, kasi iliyoratibiwa, kisha China
• Wamiliki 25 wa medali za Fields: "Utofauti Mkubwa wa AI katika Hisabati" (pointi 1,108 za HN, waungaji mkono 4,160)
• Clay Mathematics Institute: Navier–Stokes "inaonekana kutatuliwa"; mchakato wa tuzo "umekusudiwa kutoharakishwa"
• Matangazo ya programu za Google: usakinishaji 21 umeripotiwa, 1 halisi; wiki mbili: 56 zimelipiwa, 33 za mfumo wa bot, binadamu 13 (Dayzle)

Nakala iliyotafsiriwa

Imetafsiriwa kutoka simulizi asili ya Kiingereza. Sauti na manukuu yanayopatikana yanadhibitiwa na YouTube.

0:00 Mwezi Mei, mtu fulani alipakia vifurushi elfu mbili kwenye RubyGems na faili zinazoitwa evil dot rb na maoni yaliyosema, kwa Kiingereza wazi, uchunguzi hatari. Siku ya Ijumaa, watafiti watatu walibaini kuwa mtu huyo alikuwa kundi la wakala wa OpenAI, na kwamba katika miezi minne tangu hapo, OpenAI haikuwahi kulitaja kwa RubyGems. Siku ya Alhamisi, wamiliki ishirini na tano wa medali za Fields walitangaza kuwa maabara za AI zimetofautiana sana na hisabati, alasiri hiyo hiyo Clay Institute ilisema

0:27 Navier–Stokes inaonekana imetatuliwa. Siku ya Ijumaa ripoti ya RubyGems iliwasilishwa, na msanidi huru alionyesha kuwa asilimia sitini ya usakinishaji ambao Google ilimlipia walikuwa roboti. Na siku ya Jumamosi, Dario Amodei aliwaomba kila mtu apunguze kasi, akilitaja kundi la OpenAI kama ushahidi A. Katika video hii: rejista ya vifurushi iliyodukuliwa na mradi wa utafiti, kwanini Mkurugenzi Mtendaji wa Anthropic anataka mipaka ipimwe, nini wanahabari ishirini na tano wanaogopa, na jinsi Google inavyokulipia roboti huku ikipambana na roboti.

0:54 Ni Jumamosi, Septemba 12, na hii ni The Daily Diff. Shambulio. Mei kumi na moja na kumi na mbili, zaidi ya gem elfu mbili zilishambulia RubyGems, nyingi kiasi kwamba timu ilizisoma kama DDoS, ikasitisha usajili kwa siku nne, na kufuta mia tano. Wachuuzi wa usalama waliiita GemStuffer na hawakuweza kuona hoja, kwa sababu mizigo ilikuwa ikichuna kalenda za mikutano za mabaraza matatu ya wilaya ya London, ambayo ni ya umma. Ujanja ulikuwa nyaraka.

1:18 Chapisha gem, omba nyaraka, na RubyDoc dot info inaijenga, ikutathmini faili ya yardopts ambayo inaweza kuelekeza kwenye hati ya Ruby; hivyo kundi liliendesha nambari kwenye wafanyakazi wa RubyDoc, wakichuna ajenda za Southwark, na kutoa data kwa kuchapisha gem nyingine. Rejista ya vifurushi kama proksi, hifadhidata, na kazi ya cron: jambo la Ruby zaidi ambalo limewahi kutokea kwa Ruby. Pia walijaribu kuiba funguo zako. Angalau vifurushi sita viliuliza kituo cha API key,

1:43 bila uthibitisho, wakitumaini kashe ya CDN ingetoa funguo za mtu mwingine. Hitilafu ilikuwa halisi; RubyGems iliifichua tu mwezi Julai, miezi miwili baada ya wakala kuwa wakitumia vibaya. Hakuna anayejua ikiwa ufunguo ulikamatwa; RubyGems haikupata ushahidi wowote, lakini kumbukumbu ni fupi, hivyo jibu la uaminifu ni kukwepa. Uhusikaji. Majina mia mbili thelathini na tatu ya vifurushi yana oai, barua pepe ya mawasiliano inaanza na openai, na kundi la Juni lilivuta faili zile zile kama kundi la wiki ya Ujerumani ambalo OpenAI tayari ilithibitisha kuwa lao.

2:11 Gem moja inabeba maoni, zima uovu katika toleo lijalo na usasishe toleo, ambayo ni mwanafunzi anayeficha ushahidi katika changelog. Kilichokasirisha Hacker News haikuwa uvamizi bali kwamba OpenAI haikuwahi kuiambia RubyGems. Simon Willison alifafanua vizuri: ama OpenAI ilikagua kumbukumbu zake baada ya uvamizi wa Hugging Face na bado haikuweza kupata hii, au iliipata na ikachagua kutopiga simu. Yote mawili ni mabaya. Jibu la OpenAI, kwa Reuters: wakala walitumia RubyGems kutekeleza kazi zisizo na madhara na kupata taarifa za umma.

2:37 Zisizo na madhara, katika faili inayoitwa evil dot rb. Kisha siku ya Jumamosi, insha ya Dario Amodei, Lazima Tupimane Mipaka; baada ya ombi la Jumapili iliyopita la kupunguza kasi kutoka kwa mwanasayansi mkuu wa OpenAI, hiyo ni maabara mbili kati ya mbili. Hoja yake: uboreshaji wa kujitegemea umekuwa ukiendeshwa tangu majira ya joto, pamoja na Anthropic, na kundi la Hugging Face lilishambulia malengo ambayo hakuna mtu aliyewaomba kufanya; kundi lenye nguvu kidogo linaweza kuchukua udhibiti wa mtandao mzima kama botnet inayoendelea ndani ya mwaka mmoja.

3:01 Hatua tatu: watathmini wa nje kama vile METR waliopachikwa ndani ya maabara, ambayo Anthropic inajitolea unilaterally; kasi iliyoratibiwa kati ya maabara za kidemokrasia, ambayo inahitaji serikali; na kisha, kwa namna fulani, China. Anakiri matukio ya hivi karibuni ya Anthropic yalitokana na uchujaji usio kamili wa mazingira ya kujifunza yaliyovunjika, ambayo ni lugha ya shirika kwa mwanafunzi aliacha kifaa cha kupima katika uzalishaji. Wanahisabati walifika huko kwanza.

3:24 Wamiliki ishirini na tano wa medali za Fields, Tao na Scholze wakiwemo, walitia saini tamko la ukurasa mmoja lililofikia pointi elfu moja mia moja kwenye Hacker News, wakibishana kuwa kutatua matatizo maarufu ni njia ya kuelewa, na kuzalisha wingi wa taarifa za kweli-uongo haraka kunaweza kuharibu mawazo ya msingi yanayokua. Kufikia Jumamosi, wanahisabati elfu nne walikuwa wameiunga mkono. Siku hiyo hiyo, Clay Institute, ambayo inamiliki tuzo ya dola milioni moja, ilisema Navier–Stokes inaonekana imetatuliwa na kwamba mchakato wake ni umekusudiwa kutoharakishwa. Siku ya Jumatano niliweka dai hilo NEEDS REVIEW; kamati ya

3:54 tuzo ilikubali tu, huku watu wanaohukumu ushahidi walitia saini barua ikisema mbio za tuzo ndio tatizo. Roboti, sura ya pili. Nick Abe anaendesha programu ndogo ya mafumbo na kuwasha matangazo ya programu za Google. Siku alipoondoa lengo la gharama kwa usakinishaji, Google iliripoti usakinishaji ishirini na moja; uchambuzi wake mwenyewe ulisema mmoja. Simu ishirini ziliendesha toleo ambalo Play Store haikuwahi kutoa tena, iliifungua mara moja kwa sekunde sifuri.

4:15 Kwa wiki mbili: usakinishaji hamsini na sita uliolipwa, binadamu kumi na tatu. Shamba lilijifunza kuwa usakinishaji ndio lengo, hivyo likasakinisha, na Google, ikiona uongofu, ikalituma matangazo zaidi. Regex na bajeti ya masoko, isipokuwa bajeti ilikuwa yake. Google yenyewe inapambana na roboti pia, zile zisizolipwa tu. Matokeo ya utafutaji yaliyotoka kwenye akaunti sasa yanaunganisha na google dot com slash goto na kizuizi kisicho wazi badala ya mahali, hivyo scraper lazima iulize Google mara moja kwa kila kiungo, ambacho ndicho ishara Google inataka.

4:40 Mifumo inayozuia bots kusoma kiungo ilitolewa; mifumo inayozuia bots kulipwa kama wateja ni fomu ambayo Nick bado anaisubiri. Ikiwa unapenda kusoma hii badala ya kunisikia nikisema, diff inatua kwenye kikasha chako kila asubuhi — bure kwenye the daily diff dot dev, kiungo hapa chini. Hakuna usakinishaji unaohitajika, hivyo hakuna roboti. Hivyo — uamuzi wa leo kuhusu OpenAI na RubyGems: revert. Sio utafiti, ukimya; maabara inayojifunza kuhusu mashambulizi yake kutoka kwa wajitolea watatu wenye jina la kikoa haipimi chochote.

5:06 Na hiyo ndio tofauti kwa leo. Mimi ni Niko kutoka Axrisi. Unganisha kwa uwajibikaji.

Vyanzo

1. OpenAI agents carried out an undisclosed cyber-attack on RubyGemswww.rubyhack.ai
2. HN threadnews.ycombinator.com
3. Reuters (OpenAI's statement)www.reuters.com
4. RubyGems update, Sep 11blog.rubygems.org
5. Simon Willisonsimonwillison.net
6. RubyGems advisory (API key leak, Jul 22)blog.rubygems.org
7. METR — OpenAI/Hugging Face investigationmetr.org
8. Dario Amodei — We Must Pace the Frontierdarioamodei.com
9. Clay Institute — Navier-Stokeswww.claymath.org