Адаптивный антивирус A3 самостоятельно обнаружил и исправил уязвимость ShellShock за 4 минуты

[Lerg]

Очень круто! Запускаем в такой виртуалке проект с кучей багов, а система сама их находит и исправляет.

[m08pvv]

То есть программа по какому-то критерию определила нелегитимность действий, после чего просто вырезала функциональность? А если бы ошибка была не в лишней функциональности, а более хитрая — тоже вырезала бы?
/me полез читать что же там произошло и не Скайнет ли это…

[m08pvv]

Как я понял, при срабатывании защиты (т.е. в случае обнаружения попытки выполнения нелегитимных действий) берётся исходный код приложения, набор тестов, которые должны проходить, call stack и проверяется как можно сделать так, чтобы уязвимость починить без регрессий.

[m08pvv]

Насколько я понял, оно не сломает того, на что есть регрессионные тесты, которые ему скормили.
Они сами говорят, что они про качество заплатки ничего и не говорят:

We are not claiming that the A3-derived code repair is the right fix

What we are claiming is that A3 was able to automatically localize and find a patch that makes the protected application (our LAMP exemplar) resilient in seconds. If the adversary tries another exploit and causes an undesired condition in the protected application, A3 will find a refinement.

[m08pvv]

Как тесты скармливаются тоже не понял — надо утром почитать, а не в ночь с пятницы на субботу.

И это костыль, скорее, не «чтобы не упало», а «чтобы не выполняло того, что считается плохим и детектится».

[gwer]

Проект A3 — часть обширной программы от DARPA под названием CRASH (аббревиатура от «разработка надёжных, адаптивных, безопасных серверов с чистого листа»), в рамках которого пытаются придумать вариант более безопасной глобальной сети.

Собственно, название сей обширной программы прекрасно отражает то, к чему, думаю, приводит система в чуть менее удачных ситуациях, отключая все «лишнее».

[bondbig]

*тут находится ожидаемый (и всем надоевший) комментарий про Скайнет.