• úvod
  • témata
  • události
  • tržiště
  • diskuze
  • nástěnka
    • přihlásit
    registrace
    ztracené heslo?
    KOJAProgramovani 40+
    Diskuze o obzive programovanim pro starsi a pokrocile.
    rozbalit záhlaví
    JANFROG
    JANFROG --- ---
    +2
    E2E4: Uz chapu, proc si nerozumime.

    Ty rikas, ze ve JavaScript VM je kvantitativne vic problemu nez v hypervisorech. S tim souhlasim.

    Vetu
    že tenhle druh problémů např izolace hosta od hypervisoru nemá, z principu?
    jsem si vykladal tak, ze tam k problemu dojit nemuze (tj, a neexistuje a nemuze ani jeden pripad). Ze SW hypervisoru a vseho pod time je neco kvalitativne jineho. Neni.

    Ale kazdopadne se shodneme, ze dal uz to nema cenu rozvijet :-)
    E2E4
    E2E4 --- ---
    1 odpověď
    JANFROG: 2011, srsly? :) nema si kam sahnout je relativni pojem, proste attack surface je vyrazne mensi..

    naproti tomu, jen za poslednich 12 mesicu jsem nasel 2 tezky zranitelnosti v V8, vesmes exploitovany.

    CVE-2025-5419 - V8 out-of-bounds read/write
    CVE-2026-1862 - V8 type confusion

    a 2 sandbox escapy

    CVE-2025-2783 (Mojo) — sandbox escape
    CVE-2025-6558 (ANGLE/GPU) — sandbox escape

    A to jen v Chrome. Oproti jednotkam VM escape / hypervisor RCE za poslednich 15 let na vsech moznych virtualizacnich platformach..

    No nic, pokud to nevidis ani ted, ze toho je o rad vic a ze ten attack surface je vetsi, kdyz procesujes neco co je untrusted _code_, oproti hardwarem dany izolaci, tak uz te asi nepresvedci nic. :)
    JANFROG
    JANFROG --- ---
    1 odpověď
    E2E4:
    VM si nema kam si sahnout.
    Fakt ne? CVE-2011-1751, CVE-2017-4901, CVE-2021-29657, CVE-2022-31705, ...
    LUDWIG_
    LUDWIG_ --- ---
    +5
    AMBIENTIUM: super clanek. a to jsem povazoval starcraft (v porovnani s jinyma hrama z ty doby) za celkem robustni ci asi dobre nakodovany, ale tak to bylo po velkem poctu patchu, plus jak pise ke konci:

    > In the end we buckled down and stopped adding features long enough to ship the game, and players never saw the horror show underneath. Perhaps that’s another benefit of compiled languages over scripted ones like JavaScript — end users never see the train wreck!
    E2E4
    E2E4 --- ---
    1 odpověď
    JANFROG: Z principu, ze VM izolace je vic tvrda a hardwarova. VM si nema kam si sahnout. (ty BMC apod z VM nejsou dostupne.) Zatimco u JS engine jakejkoliv kod co to spusti se ty izolace muze dotknout, je tam spousta predpokladu..

    CPU uArch zranitelnosti.. to je dost rana pod pas. :) Ty nikdo necekal a hlavne rozbijeji zakladni predpoklady typu "do cizi pameti nevidim".. Navic se nastesti pomerne tezko exploatujou (ve srovnani s tema browserovejma unikama ze sandboxu). A krome toho, fungujou i z browseru - Spectre 1 fungovala, dokud nezakazali v browserech ultrajemny hodiny :)

    Samozrejme tam taky nejakou correctness mit musis mit u VM taky a jsou v tom diry, ale u JS engine / JIT kompilatoru ty korektnosti musis mit velky mnozstvi.. Kdyz ti .. Taky tech der je o rad dva vice. :)
    JANFROG
    JANFROG --- ---
    1 odpověď+2
    E2E4: Jak nema z principu? Co vsechny ty metdowny, spectre, vsechny ty problemy v SGE, nebo nedavno VSOCK? A kolik SW veci bezi jeste pod hypervisorem (ruznej firmware, M-mode handlery apod) nebo vedle nej - vsechny ty IME, iLO. Pak tu mas IDRAC ci jak se vsechny byt BMC jmenujou. To vsechno ma ty stejne problemy.
    SATAI
    SATAI --- ---
    +4
    ANT_39:

    Ale jak se říká - řádky jsou spotřebované, je to jako chlubit se při konstrukci letadla spotřebovanými kg titanu ;-)
    PES
    PES --- ---
    +2
    E2E4: nekecej a podívej se na biologický vývoj - kolik rovnáků na vohejbák nejen přežilo, ale zůstalo jako vývojový funkční prvek (ve stylu "takhle to stačí, nemusí to být mistrovské dílo")
    PISKVOR
    PISKVOR --- ---
    ANT_39: Jen je to víc vidět, protože ANT_39: Když dojde na chrlení šlichty, je počítač nepřekonatelný. To už jsme si ostatně ověřili u spamu.

    (ale ano, celkem rozumím, že když to obrácení v prdel probíhá bezobslužně, tak je to mnohem otravnější, právě jen tím masivním objemem)
    PISKVOR
    PISKVOR --- ---
    JANFROG: No, to taky neříkám, sorry, asi to tak ode mě vyznělo.

    Spíš jsem chtěl říct, že letos budeme opět vynalézat The Mythical Man-Month, nebo hůř, ptát se Charlese Babbage, jestli ze stroje vyleze správná odpověď, když ho nakrmím brajglem. Tohle se dosud nezměnilo, jen se zvětšuje počet lidí, kteří k tomu krmení strojů mají přístup...
    ANT_39
    ANT_39 --- ---
    2 odpovědi+3
    JANFROG:
    produktivitu... mnozstvi kodu za jednotku casu
    Hej, presne moje myslenka. Z hlediska KLOC/$ jsou ty AIcka neporazitelny :)
    E2E4
    E2E4 --- ---
    1 odpověď+1
    JANFROG: ad correctness - jako jo ale souhlasíš se mnou, že tenhle druh problémů např izolace hosta od hypervisoru nemá, z principu?
    JANFROG
    JANFROG --- ---
    +1
    JANFROG: A na rozdil od ANTa ja zcela jiste dedkovatim :-)
    JANFROG
    JANFROG --- ---
    4 odpovědi+3
    PISKVOR: Ja nikde netvrdim ze agenti maji psat jen v Ade :-)
    E2E4: Ja ani netvrdim, ze korektnosti ma byt dosazeno rucne :-) A zrovna ten JavaScript sandbox v browseru je to o cem Michael mluvil - berou to vazne, delaji to dlouho ale stejne je ten sandbox deravej a vetsina tech der co jsou jim zname byl "correctness problem" nekde, casto v prekladaci, nekdy v GC...

    Takze my nevime jak delat SW udrzovatelne, bez funkcnich ci bezpecnostnich chyb a jak si rikal najednou nekdo rekne, ze to je jedno ("lidi take delaj chyby") hlavne ze to zlepsi produktivitu (resp, tu nejblbejsi metriku produktivity - mnozstvi kodu za jednotku casu). A do me na tom desi nejvic je ze (nekteri) "programatori" na to skacou a zerou to i s navijakem.
    E2E4
    E2E4 --- ---
    +2
    ANT_39: no to je ale přesně to - v pár use casech je AI super, ve většině ale jen generuje bordel a nekvalitu, přičemž to druhý je silněji incentivizovano..
    ANT_39
    ANT_39 --- ---
    4 odpovědi+1
    ALMAD: Hm, je to tak. Vedle obecne shitoznosti se to projevi konkretne bezpecnostnima problemama.
    Ad AISLE, neslysel jsem, koukam na web. Zni to hezky, no. Mas s tim zkusenosti?
    Napada me k tomu nedavna kauza kolem curl bug bounty programu, kterej byl tak dlouho nevybirave zaplavovanej vyhalucinovanym AI shitem, az ho zrusili. Vetsina toho shitu byla ale asi spis od nejakyho starsiho chatGPT, nez od recentniho Clauda.
    Z druhy strany, Claude mi nedavno nasel realnou bugu v kernelim patchi. Sice bez security implikace, ale presto.
    Uvidime, no. Mozna jen dedkovatim, ale posledni dobou mam podezreni, ze svet se v prdel obraci.
    E2E4
    E2E4 --- ---
    1 odpověď
    JANFROG: no, smyslem správnyho security designu je, aby nemuselo bejt všechno korektní jaksi ručně. typu porovnej izolaci VM, aplikaci v mobilu, kontejneru a JavaScriptu v browseru..
    E2E4
    E2E4 --- ---
    1 odpověď
    PES: evoluce by zabila vohejbak a místo něj by se prosadilo něco co je od základu rovný :)

    ale jak tu někdo psal, software je velky bordel, nekvalitní, 2000x vynalézání kola, a chybami a s bezpečnostními dírami atd protože se holt preferuje rychlost před kvalitou. AI / vibe coding obzvlášť je jen další krok na tyhle cestě.. ;)
    PISKVOR
    PISKVOR --- ---
    1 odpověď
    JANFROG: Ano. Takže nechat agenty psát jenom v Adě, teda ve Sparku? Taky nepomůže, páč problém není v agentu, ale v tom, že to ne-vývojář-ale-mahaut nadefinuje "tady máš happy path, zbytek nějak udělej, YOLO lol neasi."

    Jsme zase u toho "autocomplete myslí za mě" - no, ne, no. Akorát to copypastuje ze StackOverflow rychlejc ;o)
    JANFROG
    JANFROG --- ---
    2 odpovědi+9
    ALMAD: A tady bych si zase vzpomel na slova Michael Lippautz (Google V8) z lonskeho leta "Almost every security problem turned out to be correctness problem. We do not like it, but that's what we have learned the hard way."
    SH_PANDA
    SH_PANDA --- ---
    tak context window neni reseni, resenim je mcp, ktery dela "code intelligence". prave neco takoveho pisu.
    Kliknutím sem můžete změnit nastavení reklam