Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атака на инфраструктуру PyTorch, компрометирующая репозиторий и релизы"	+/–
Сообщение от opennews (?), 12-Янв-24, 10:36
Раскрыты детали атаки на инфраструктуру, используемую при разработке фреймворка машинного обучения PyTorch, позволившую извлечь ключи доступа, достаточные для размещения произвольных данных в репозитории с релизами проекта в GitHub и AWS, а также для подстановки кода в основную ветку репозитория и добавления бэкдора через зависимости. Подмена релизов PyTorch могла использоваться для осуществления атаки на крупные компании, такие как Google, Meta, Boeing и Lockheed Martin, использующие PyTorch в своих проектах. В рамках программы  Bug Bounty компания Meta выплатила исследователям $16250 за информацию о проблеме... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=60424
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	–4 +/–
Сообщение от AKTEON (?), 12-Янв-24, 10:36
Ну-ну. И что  дальше делать будем ??  Предлагаю пускать на github только сотрудников  от компаний с уставным капиталом от 10 млн$ со справкой о политической благонадежности,хе-хе
Ответить | Правка | Наверх | Cообщить модератору

	9. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	–5 +/–
	Сообщение от YetAnotherOnanym (ok), 12-Янв-24, 14:10
	Ничего. "Языков, лёгких в освоении и использовании" быть не должно, но бизнесу нужны именно они.
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
	Сообщение от Аноним (15), 12-Янв-24, 16:37
	Ну точно, с кодом на крестах такого случиться не могло.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
	Сообщение от YetAnotherOnanym (ok), 13-Янв-24, 15:38
	Вот именно таких детских косяков на крестах ты много знаешь?
	Ответить | Правка | Наверх | Cообщить модератору

2. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+1 +/–
Сообщение от Tron is Whistling (?), 12-Янв-24, 10:43
Прачечная в прачечной - это мило.
Ответить | Правка | Наверх | Cообщить модератору

5. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
Сообщение от Аноним (5), 12-Янв-24, 12:13
1. Зачем токену раннера, который GH выдаёт пайплайнам, выполняющимся при PRах, вообще выданы разрешения писать в репозиторий или читать конфиденциальную информацию? Такие разрешения должны выдаваться только пайплайнам главной ветки, да и то при явном согласии владельца. 2. pytorch не хостит релизы на GitHub, они их хостят на своём сайте.
Ответить | Правка | Наверх | Cообщить модератору

	12. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	–2 +/–
	Сообщение от пох. (?), 12-Янв-24, 15:29
	> Зачем токену раннера, который GH выдаёт пайплайнам, выполняющимся при PRах, вообще выданы > разрешения писать в репозиторий а откуда берется по твоему то что тестировать? Из него, родимого. И нет, это не основное дерево, разумеется, это твой васянский форк. Прикол в том что ты можешь тестировать свой васян-форк на энтер-прайсных серверах (ну правда надо исхитриться до этого прислать васян-патч который ентер-прайс радостно склюет, что в целом не так легко, но технически - возможно, код - ентер-прайсный, а значит он г-но) А читать ему надо потому что оно исполняется внутри закрытого контура производителя himars (например). Ну континиус же ж дезинтегрейшен - чего терять время на рассмотрение твоего багфикса если он даже не запускается (у нас, а не где-то в сферическом вакууме) > pytorch не хостит релизы на GitHub пофигу на релизы - в них никто ничего и не меняет. не пофигу на то что патчи исполняются шитхабом. А вот у шитхаба есть доступ в закрытые контуры очень серьезных ребят (кто бы мог опять подумать и было ли ему чем) Т.е. ты свой код внезапно взял и у них там исполнил. Уже можно не добиваться его включения в мэйнлайн, да и неудобно с (c)товарищмаёр - просто откати комит "ну не получилось чего-то".
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	–1 +/–
	Сообщение от Аноним (13), 12-Янв-24, 15:57
	>а откуда берется по твоему то что тестировать? Из него, родимого. Не клоунадь. Код в репозитории доступен без аутентификации публично. Так же, как и часть инфы. Другая часть инфы доступна при аутентификации для записи и чтения. Напр. списки заланенных пользователей. Третья часть доступна для чтения публично, а запись - только по токену. Напр. запись в репозиторий, публикация и редактирование релизов, редактированиети публикация комментариев. Гитхаб для каждого пайплайна генерит токен с полномочиями на этот репозиторий. Как так получилось, что при запуске пайплайна для чужого PR этот пайплайн получил права, отличные от прав того пользователя, кто сделал PR?
	Ответить | Правка | Наверх | Cообщить модератору

6. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+3 +/–
Сообщение от Аноним (6), 12-Янв-24, 12:37
>для осуществления атаки на крупные компании, такие как Google, Meta, Boeing и Lockheed Martin Там ещё и Tesla: https://www.youtube.com/watch?v=oBklltKXtDE p.s.: Ну думаю все понимают откуда ноги растут...
Ответить | Правка | Наверх | Cообщить модератору

11. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
Сообщение от Бывалый смузихлёб (?), 12-Янв-24, 15:16
где-то тут должны быть шутки вроде про лифпад, но, постойте-ка, это же богоугодный пихон и про него так нельзя, а то вдруг школьники обидятся
Ответить | Правка | Наверх | Cообщить модератору

	16. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
	Сообщение от Аноним (15), 12-Янв-24, 16:38
	Такими темпами и до сишкохульства недалеко.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
	Сообщение от Аноним (20), 12-Янв-24, 20:25
	> тут должны быть шутки вроде про лифпад, но, постойте-ка, это же богоугодный пихон @ Дальше загаловка не читай. @ Искрометный юмор пиши. 🤡
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

17. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	–1 +/–
Сообщение от Аноним (17), 12-Янв-24, 17:18
> Для получения статуса активного разработчика в ходе эксперимента использовались незначительные косметические изменения, связанные с устранением опечаток в документации. Бойтесь данайцев дары приносящих. Опенсорс убивают не корпорации, а вот такие инциденты, подрывающие доверие к самой модели. И никакой код ревью тут не спасёт, всего не предусмотришь, соломки везде не подстелишь.
Ответить | Правка | Наверх | Cообщить модератору

	18. "Атака на инфраструктуру PyTorch, компрометирующая репозитори..."	+/–
	Сообщение от 1 (??), 12-Янв-24, 17:52
	А причём тут open source ? Качай tar-ы и проверяй хеш файла и будет тебе щастье. Это всё про CI/CD
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема