Süni intellektlə kodlaşdırma aləti ZCode texniki bloqçu ferstarın tərs analiz nəticəsində tətbiqin istifadəçi hesaba daxil olduqda .git qovluğu da daxil olmaqla tam layihə anlıq görüntülərini fon rejimində avtomatik olaraq Alibaba Cloud OSS-ə yüklədiyini bildirməsindən sonra diqqət mərkəzinə düşüb.

ferstarın analizinə görə, bildirilən mexanizm istifadəçinin əl ilə yükləmə əməlindən asılı deyil. Bloqçu prosesin istifadəçi hesaba daxil olduğu müddətdə başladığını və interfeysdə anlıq görüntünün yüklənməsini söndürmək üçün heç bir ayarın olmadığını deyib.

Ferstar bildirib ki, analiz zamanı müəyyən edilən bir kommersiya layihəsinin anlıq görüntüsü təxminən 313MB idi və təqribən 42.000 fayldan ibarət idi. Onların 86,6%-ni Git tarixçə obyektləri, LFS iri fayl keşləri və reflog-lar daxil olmaqla .git ilə əlaqəli fayllar təşkil edib. Bu nəticəyə əsasən, bildirilən yükləmə paketi təkcə cari kodu deyil, həm də köhnə commit-ləri, əvvəl yüklənmiş iri faylları və lokal budaq fəaliyyətinin izlərini ehtiva edə bilər.

Eyni analiz anlıq görüntünün yüklənməsinin 564 dəfə uğursuz olduğunu və yenidən cəhd üçün lokal növbədə qaldığını bildirib. Hesabat nə qədər istifadəçinin təsirlənə biləcəyini, yükləmələrin geniş miqyasda tamamlanıb-tamamlanmadığını və ya ZCode-un analiz dərc ediləndən bəri bu davranışı dəyişib-dəyişmədiyini müəyyən etməyib.

Hesabatda təsvir edildiyi kimi, ZCode-un dərc olunmuş məxfilik siyasətində məhsulun istifadəçilərin söhbətlərdə təqdim etdiyi mətnləri, faylları və kodu topladığı, lakin bütün repozitoriyaların və Git tarixçəsinin yükləndiyinin açıq şəkildə bildirilmədiyi deyilir. Ferstar həmçinin bildirib ki, ZCode-un “optimallaşdırma planı” standart olaraq söndürülüb və görünür, anlıq görüntünün paketlənməsi və ötürülməsinin özündən çox məlumatların model təlimində istifadəsini tənzimləyir. Hesabatda həmin seçimin söndürülməsinin fon yükləmə davranışını dayandırmadığı deyilir.

Niyə vacibdir

Bu hadisə ona görə vacibdir ki, süni intellektlə kodlaşdırma alətləri getdikcə repozitoriyalarda smart müqavilə kodu, yerləşdirmə skriptləri, daxili infrastruktur və digər həssas materialların ola biləcəyi aktiv tərtibat mühitlərində istifadə edilir. Açıqlanmış söhbət girişləri ilə tam fon repozitoriya paketlənməsi arasındakı fərq təhlükəsizlik və uyğunluq profilini əhəmiyyətli dərəcədə dəyişir.

Bu, həmçinin süni intellekt alətləri ilə bağlı daha geniş sənaye sualını gündəmə gətirir: rahatlıq funksiyaları və telemetriya sistemləri kodla işləmə axınlarından kifayət qədər aydın şəkildə ayrılırmı? Həm müəssisə, həm də kriptoyönümlü komandalar üçün məhsulun mənimsənilməsi yalnız model keyfiyyətindən deyil, daha çox şəffaf məlumat sərhədlərindən, açıq razılıqdan və yoxlanıla bilən nəzarətlərdən asılı ola bilər.