Да, в рамках юридикции США легче подать в суд на американскую компанию, чем на китайскую.
Я могу через минский городской суд на них подать иск?
Наверное, да, если сможете обосновать подсудность ваших с китайской компанией правовых отношений минскому городскому суду.
А в Китае, по-вашему, нет суда?
Есть, но не думаю, что американской компании (или, тем более, жителю Минска) легко будет выиграть дело в китайском суде.
Или может быть в Китае нет компаний, занимающихся разработкой ПО?
Есть, может быть, кто-то из них подаст в суд на Z.ai за этот инцидент. Однако, во-первых, судиться по любому поводу — это американская национальная традиция, а не китайская. Во-вторых, новости из Китая доходят до нас намного хуже, чем из США.
P. S. Пожалуйста, перестаньте приписывать мне какие бы то ни было политические симпатии. Это некрасиво с вашей стороны.
Но вы же сами выше утвержали, что Cursor где-то открыто задекларировали такой сбор данных. А теперь говорите, что на самом деле не читали.
А китайцам не насуют?
А китайцам не насуют — юрисдикция не та. Не так легко подать в суд на компанию в другой стране, да ещё и выграть его там.
В Америке же все порядочные […], а китайцы плохие […]. Правильно я вас понимаю?
Неправильно понимаете. Я всего лишь призываю вас не оправдывать скотское поведение со стороны любых корпораций, китайских ли, американских ли, российских ли.
Загрузить на сервер данные, которые пользователь явно попросил обработать — это нормальное поведение софта. Загрузить в облако вообще все данные, проигнорировав настроенные пользователем правила доступа — это ненормальное поведение. Если бы телеграм отправлял себе в облако не только фотографии, которые вы захотели отправить в чат, а вообще все фотографии с устройства, вы бы тоже не нашли в этом ничего предосудительного?
Не могли бы вы привести ссылку на пункт лицензионного соглашении или другого документа, где было бы сказано про сбор пользовательских репозиториев и/или рабочих копий целиком? Или хотя бы какое-то свидетельство того, что они действительно так делают.
и всем норм
Если курсор будет замечен в подобном поведении, ему насуют исков американские же корпоративные клиенты. И информационный шум будет на весь интернет.
То есть историю коммитов читают и анализируют любые агенты
Не любые, и не обязательно втайне от пользователя. Да и речь не про историю коммитов, а про всё содержимое репозитория (все ревизии всех веток и тегов) плюс незакоммиченные файлы в рабочей копии.
Насколько вообще надо быть наивным, чтобы думать, что удалённая модель будет работать как-то по-другому
Я достаточно хорошо себе представляю, как работают агентские среды, и не могу объяснить загрузку всей репы в облако никакой разумной причиной. Никакая полезная пользователю функциональность этого не требует.
А по поводу наивности: современный софт настолько сложен, что вы не проверите и не проконтролируете даже малую часть того, что запускается у вас на компе. Всё работает на доверии, немножко прикрытом цифровыми подписями. Если вендор обманывает доверие пользователей, это заслуживает общественной критики. Если не хотите присоединиться к критике, то можно хотя бы не оправдывать бесчестное поведение корпораций.
Если я хочу, чтобы мне кто-то помогал с проектом - я ему дам доступ к каталогу проекта.
Вы говорите гипотетически или действительно практикуете такой режим работы? В том смысле, что действительно запускаете весь сторонний софт в контейнерах, песочницах или, на худой конец, от отдельного пользователя? Если да, то я бы хотел взглянуть на ваш сетап и то, как именно вы смогли сделать это удобным. Потому что я так делаю для ряда приложений, и это создаёт достаточно значительные неудобства в работе, с которыми приходится. Если нет, то я не понимаю, о каком “выдам доступ к каталогу проекта” вы вообще говорите.
Проблема ещё в том, что “нормальные люди”, не станут так заморачиваться. Они установят софт в систему методом “Запуск от администратора: разрешить”, “Далее”, “Далее”, “Готово”, и радостно сольют и свои данные, и ваши. Поэтому любой вендор, уличённый в сборе того, что его собирать не просили, должен быть подвергнут общественному порицанию.
Описанное в статье — это поведение малвари, а не программного продукта от уважаемой компании. Такое нужно осуждать, если, конечно, вы не хотите, чтобы это стало нормой.
если у вас в папке проекта оказались доступы к продакшену
Давайте развивать идею дальше. Зачем ограничиваться каталогом проекта? Если у вас где-либо на компе оказались доступы к продакшну, сохранённые логины, пароли, или токены доступа к любым сервисам вообще — это ваша проблема, а любой кусок софта имеет полное моральное право прибрать их к себе в облако. Ему же нужнее, а у вас всё равно ничего ценного нет на компе, один только лишь генерённый код.
Как по мне, это довольно плохой знак. Эти одиннадцать минут означают, что в Backblaze даже не пытались оценить ситуацию самостоятельно, а просто залочили аккаунт по первой жалобе, ничего не проверяя.
Никто не подписывается под отсутствием багов, речь вообще не о том. Всё как всегда упирается в доверие к репутации, квалификации и доброй воле разработчика. Я ценю авторскую честность, но утверждение “я в криптографии не разбираюсь, код построчно не читал, но, кажется, работает” — это не то, что хотелось бы услышать от автора SSH-клиента.
Сегодня произошло то, чего мы больше всего не любим: Туннельный Котик перестал помогать многим людям
Как читатель со стороны: да кто такие “вы”? Какой котик? Почему вы предполагаете, что я вас знаю и слежу за вашим проектом?
Почему архитектура именно такая
Какая такая? Выше этого заголовка про техническую архитектуру проекта не было сказано ничего. Ниже — тоже, только общие слова о том, какая она хорошая, ваша архитектура. По ссылкам — навайбкоженный сайт вида “Покупайте наших слонов” и никакой конкретики. Документации нет. Сорцов клиентов нет.
Асимметрия, которая нас смущает
Всё перечисленное в этом разделе относится в том числе и к вам. У человека со стороны нет никаких оснований доверять вам больше, чем другим провайдерам. Может быть вы тоже “кого надо проект”, какой бы смысл вы в эти слова ни вкладывали.
Боюсь, это уже не поможет. Только недавно была новость, что Яндекс закрывает бесплатным пользователям доступ к IMAP и POP3. Вот, например, ссылка: https://habr.com/ru/news/1042832/. Не знаю, правда, касается ли это только “организаций” или вообще всех.
Я серьезно: проект написан нейронкой, внешнего аудита криптографии не было, и каждый человек, который внимательно посмотрит в исходники, поможет сделать его лучше.
А внутренний аудит был? Вы сами посмотрели внимательно исходники и можете подписаться своим именем, что там всё в порядке, без дисклеймера “ну там нейронка писала”?
Особенно приглашаю тех, кто в комментариях уже готовит тезис «вайбкоду нельзя доверять секреты» – вот вам открытый код, THREAT_MODEL.md и почта для репортов.
Вам не кажется, что это работает немного не так? Вы выдвигаете тезис “вайбкоду можно доверять секреты”, вам его, в первую очередь, и доказывать.
Вот смотрите, у нас сейчас есть два опенсорсных компилятора C и C++: GCC и clang. Оба достаточно оперативно добавляют поддержку новых стандартов языка по мере их выхода. Что хорошего случится, если останется только один, что вас так радует такой сценарий?
проиграли конкуренцию цланну, еще когда gcc был в 5 версии
Предположим, что вы правы, и одиннадцать лет назад они действительно проиграли конкуренцию. Предполагается, что проигравший должен застрелиться?
Сейчас оно уже мало кому надо
Это неправда, GCC очень широко применяется в эмбеддед-разработке. Кроме того, любая уважающая себя библиотека на C++ тестируется со всеми доступными компиляторами и статическими анализаторами. Не знаю как вы, а я совсем не считаю лишней возможность скомпилировать свой код ещё одним компилятором, хотя бы потому что там другие диагностики.
Деды
Благодаря этим “дедам” у нас вообще есть такое являение, как свободный софт вообще и свободные компиляторы в частности. Вам не кажется, что они могут что-то знать и в чём-то разбираться?
К слову, нежелание “дедов” принимать в кодовую базу ИИ-код имеет под собой вполне юридические причины. Законодательной базы о правах на генерённый код пока нет, а в GNU разбираются в копирайте и не хотят рисковать скомпрометировать проект включением кода с неочевидным правовым статусом.
Возможно, слово «обычно» в предыдущем комментарии было слишком смелым, однако были и есть игры, которые полагаются на детерминированность вычислений в сетевом коде. Из старых игр классический пример — Starcraft. Из современного я навскидку могу вспомнить Factorio [1].
Вероятно, что какие-то из современных RTS используют похожий подход. Как минимум, серия Total War явно что-то такое практикует [2].
Для геймдева потеря пары знаков после запятой обычно вообще не играет роли
Смотря где. В сетевых играх обычно важно, чтобы код на клиенте на любой платформе и код на сервере вычисляли одно и то же с одинаковой точностью, чтобы у всех игроков была общая версия реальности, а не у каждого своя.
Ну нет, это опасная опция и её следует применять точечно, а не палить по площадям. В противном случае есть большой риск сломать если не свой, то чей-то ещё библиотечный код.
Почему-то сразу не вспомнил, но -ffast-math среди прочего тихо ломает функции std::isinf и std::isnan. И это, наверное, главная опасность этой опции: эти функции часто используются для валидации входных данных и проверок на ошибки даже в весьма далёких от интенсивных вычислений местах кода.
Если дать оптимизатору некоторую свободу флагом -ffast-math
… то можно наступить на множество редких неочевидных граблей и заработать ценный опыт.
Несмотря на то, что арифметика с плавающей запятой имеет репутацию чего-то ненадёжного и непредсказуемого, в современном мире она весьма стандартизована и позволяет получать воспроизводимый до последнего бита результат на разных ОС и компиляторах. Не в последнюю очередь за счёт того, что компиляторы не пытаются самостоятельно переписывать выражения на алгебраически эквивалентные. По умолчанию, без флага -ffast-math, все вычисления будут выполнены в том порядке, как написано в коде, и это хорошо, так как позволяет знающему разработчику минимизировать потерю точности.
Поэтому не советую включать -ffast-math просто так, чтобы «дать свободу оптимизатору», в особенности при сборке библиотек для линейной алгебры — он, скорее всего, сведёт на нет все усилия авторов по сохранению точности результата. Если уж очень хочется, можно включить его атрибутом или прагмой для отдельных функций или фрагментов кода.
Ну так он же и без контекста толком не вмещается в 16 ГБ видеопамяти. А если оставить половину слоёв в основной памяти, производительность будет просто боль, единицы токенов в секунды.
Вот смотрите, есть текущая ситуация, где де-юре право на приватность есть у всех — и у простых людей, и у власть имущих. Вы рассуждаете о некой гипотетической реальности, где его нет ни у тех, ни у других.
Как вы представляете себе переход между этими реальностями такой, чтобы он не остановился на много лет в состоянии “у людей нет права на приватность, у власти такое право есть”?
Да, в рамках юридикции США легче подать в суд на американскую компанию, чем на китайскую.
Наверное, да, если сможете обосновать подсудность ваших с китайской компанией правовых отношений минскому городскому суду.
Есть, но не думаю, что американской компании (или, тем более, жителю Минска) легко будет выиграть дело в китайском суде.
Есть, может быть, кто-то из них подаст в суд на Z.ai за этот инцидент. Однако, во-первых, судиться по любому поводу — это американская национальная традиция, а не китайская. Во-вторых, новости из Китая доходят до нас намного хуже, чем из США.
P. S. Пожалуйста, перестаньте приписывать мне какие бы то ни было политические симпатии. Это некрасиво с вашей стороны.
Но вы же сами выше утвержали, что Cursor где-то открыто задекларировали такой сбор данных. А теперь говорите, что на самом деле не читали.
А китайцам не насуют — юрисдикция не та. Не так легко подать в суд на компанию в другой стране, да ещё и выграть его там.
Неправильно понимаете. Я всего лишь призываю вас не оправдывать скотское поведение со стороны любых корпораций, китайских ли, американских ли, российских ли.
Загрузить на сервер данные, которые пользователь явно попросил обработать — это нормальное поведение софта. Загрузить в облако вообще все данные, проигнорировав настроенные пользователем правила доступа — это ненормальное поведение. Если бы телеграм отправлял себе в облако не только фотографии, которые вы захотели отправить в чат, а вообще все фотографии с устройства, вы бы тоже не нашли в этом ничего предосудительного?
Не могли бы вы привести ссылку на пункт лицензионного соглашении или другого документа, где было бы сказано про сбор пользовательских репозиториев и/или рабочих копий целиком? Или хотя бы какое-то свидетельство того, что они действительно так делают.
Если курсор будет замечен в подобном поведении, ему насуют исков американские же корпоративные клиенты. И информационный шум будет на весь интернет.
Не любые, и не обязательно втайне от пользователя. Да и речь не про историю коммитов, а про всё содержимое репозитория (все ревизии всех веток и тегов) плюс незакоммиченные файлы в рабочей копии.
Я достаточно хорошо себе представляю, как работают агентские среды, и не могу объяснить загрузку всей репы в облако никакой разумной причиной. Никакая полезная пользователю функциональность этого не требует.
А по поводу наивности: современный софт настолько сложен, что вы не проверите и не проконтролируете даже малую часть того, что запускается у вас на компе. Всё работает на доверии, немножко прикрытом цифровыми подписями. Если вендор обманывает доверие пользователей, это заслуживает общественной критики. Если не хотите присоединиться к критике, то можно хотя бы не оправдывать бесчестное поведение корпораций.
Вы говорите гипотетически или действительно практикуете такой режим работы? В том смысле, что действительно запускаете весь сторонний софт в контейнерах, песочницах или, на худой конец, от отдельного пользователя? Если да, то я бы хотел взглянуть на ваш сетап и то, как именно вы смогли сделать это удобным. Потому что я так делаю для ряда приложений, и это создаёт достаточно значительные неудобства в работе, с которыми приходится. Если нет, то я не понимаю, о каком “выдам доступ к каталогу проекта” вы вообще говорите.
Проблема ещё в том, что “нормальные люди”, не станут так заморачиваться. Они установят софт в систему методом “Запуск от администратора: разрешить”, “Далее”, “Далее”, “Готово”, и радостно сольют и свои данные, и ваши. Поэтому любой вендор, уличённый в сборе того, что его собирать не просили, должен быть подвергнут общественному порицанию.
Зачем вы оправдываете явную дичь?
Описанное в статье — это поведение малвари, а не программного продукта от уважаемой компании. Такое нужно осуждать, если, конечно, вы не хотите, чтобы это стало нормой.
Давайте развивать идею дальше. Зачем ограничиваться каталогом проекта? Если у вас где-либо на компе оказались доступы к продакшну, сохранённые логины, пароли, или токены доступа к любым сервисам вообще — это ваша проблема, а любой кусок софта имеет полное моральное право прибрать их к себе в облако. Ему же нужнее, а у вас всё равно ничего ценного нет на компе, один только лишь генерённый код.
Как по мне, это довольно плохой знак. Эти одиннадцать минут означают, что в Backblaze даже не пытались оценить ситуацию самостоятельно, а просто залочили аккаунт по первой жалобе, ничего не проверяя.
Никто не подписывается под отсутствием багов, речь вообще не о том. Всё как всегда упирается в доверие к репутации, квалификации и доброй воле разработчика. Я ценю авторскую честность, но утверждение “я в криптографии не разбираюсь, код построчно не читал, но, кажется, работает” — это не то, что хотелось бы услышать от автора SSH-клиента.
Текст написан крайне невнятно.
Как читатель со стороны: да кто такие “вы”? Какой котик? Почему вы предполагаете, что я вас знаю и слежу за вашим проектом?
Какая такая? Выше этого заголовка про техническую архитектуру проекта не было сказано ничего. Ниже — тоже, только общие слова о том, какая она хорошая, ваша архитектура. По ссылкам — навайбкоженный сайт вида “Покупайте наших слонов” и никакой конкретики. Документации нет. Сорцов клиентов нет.
Всё перечисленное в этом разделе относится в том числе и к вам. У человека со стороны нет никаких оснований доверять вам больше, чем другим провайдерам. Может быть вы тоже “кого надо проект”, какой бы смысл вы в эти слова ни вкладывали.
Боюсь, это уже не поможет. Только недавно была новость, что Яндекс закрывает бесплатным пользователям доступ к IMAP и POP3. Вот, например, ссылка: https://habr.com/ru/news/1042832/. Не знаю, правда, касается ли это только “организаций” или вообще всех.
А внутренний аудит был? Вы сами посмотрели внимательно исходники и можете подписаться своим именем, что там всё в порядке, без дисклеймера “ну там нейронка писала”?
Вам не кажется, что это работает немного не так? Вы выдвигаете тезис “вайбкоду можно доверять секреты”, вам его, в первую очередь, и доказывать.
Вот смотрите, у нас сейчас есть два опенсорсных компилятора C и C++: GCC и clang. Оба достаточно оперативно добавляют поддержку новых стандартов языка по мере их выхода. Что хорошего случится, если останется только один, что вас так радует такой сценарий?
Предположим, что вы правы, и одиннадцать лет назад они действительно проиграли конкуренцию. Предполагается, что проигравший должен застрелиться?
Это неправда, GCC очень широко применяется в эмбеддед-разработке. Кроме того, любая уважающая себя библиотека на C++ тестируется со всеми доступными компиляторами и статическими анализаторами. Не знаю как вы, а я совсем не считаю лишней возможность скомпилировать свой код ещё одним компилятором, хотя бы потому что там другие диагностики.
Благодаря этим “дедам” у нас вообще есть такое являение, как свободный софт вообще и свободные компиляторы в частности. Вам не кажется, что они могут что-то знать и в чём-то разбираться?
К слову, нежелание “дедов” принимать в кодовую базу ИИ-код имеет под собой вполне юридические причины. Законодательной базы о правах на генерённый код пока нет, а в GNU разбираются в копирайте и не хотят рисковать скомпрометировать проект включением кода с неочевидным правовым статусом.
Это хорошо для вас лично или вообще? Можете подробнее раскрыть ход своих мыслей, а то мне не хватает нейропластичности, чтобы их понять.
Возможно, слово «обычно» в предыдущем комментарии было слишком смелым, однако были и есть игры, которые полагаются на детерминированность вычислений в сетевом коде. Из старых игр классический пример — Starcraft. Из современного я навскидку могу вспомнить Factorio [1].
Вероятно, что какие-то из современных RTS используют похожий подход. Как минимум, серия Total War явно что-то такое практикует [2].
[1] https://wiki.factorio.com/Desynchronization
[2] https://tw-modding.com/index.php/Multiplayer_Desyncs
Смотря где. В сетевых играх обычно важно, чтобы код на клиенте на любой платформе и код на сервере вычисляли одно и то же с одинаковой точностью, чтобы у всех игроков была общая версия реальности, а не у каждого своя.
Ну нет, это опасная опция и её следует применять точечно, а не палить по площадям. В противном случае есть большой риск сломать если не свой, то чей-то ещё библиотечный код.
Почему-то сразу не вспомнил, но
-ffast-mathсреди прочего тихо ломает функцииstd::isinfиstd::isnan. И это, наверное, главная опасность этой опции: эти функции часто используются для валидации входных данных и проверок на ошибки даже в весьма далёких от интенсивных вычислений местах кода.… то можно наступить на множество редких неочевидных граблей и заработать ценный опыт.
Несмотря на то, что арифметика с плавающей запятой имеет репутацию чего-то ненадёжного и непредсказуемого, в современном мире она весьма стандартизована и позволяет получать воспроизводимый до последнего бита результат на разных ОС и компиляторах. Не в последнюю очередь за счёт того, что компиляторы не пытаются самостоятельно переписывать выражения на алгебраически эквивалентные. По умолчанию, без флага
-ffast-math, все вычисления будут выполнены в том порядке, как написано в коде, и это хорошо, так как позволяет знающему разработчику минимизировать потерю точности.Поэтому не советую включать
-ffast-mathпросто так, чтобы «дать свободу оптимизатору», в особенности при сборке библиотек для линейной алгебры — он, скорее всего, сведёт на нет все усилия авторов по сохранению точности результата. Если уж очень хочется, можно включить его атрибутом или прагмой для отдельных функций или фрагментов кода.Мне кажется, вы несколько переоцениваете роль личности в эволюции общественных отношений.
Ну так он же и без контекста толком не вмещается в 16 ГБ видеопамяти. А если оставить половину слоёв в основной памяти, производительность будет просто боль, единицы токенов в секунды.
Вот смотрите, есть текущая ситуация, где де-юре право на приватность есть у всех — и у простых людей, и у власть имущих. Вы рассуждаете о некой гипотетической реальности, где его нет ни у тех, ни у других.
Как вы представляете себе переход между этими реальностями такой, чтобы он не остановился на много лет в состоянии “у людей нет права на приватность, у власти такое право есть”?