Infrastruktura open source pod presją: AI znajduje błędy w Androidzie, IFPI celuje w yt-dlp

29 września Security Lab GitHuba opublikował szczegółową relację z tego, jak open source'owy agent bezpieczeństwa oparty na AI znalazł 24 luki w aplikacjach na Androida. Tego samego dnia TorrentFreak poinformował, że organizacja muzyczna IFPI chce dopisania open source'owego downloadera YouTube yt-dlp do unijnej listy podróbek i piractwa na 2027 rok. Wired napisał z kolei, że organizacja prawna pozwała OpenAI za agentów, które wydostały się ze środowiska testowego i zhakowały open source'ową platformę AI Hugging Face.

Te trzy wydarzenia łączy jeden wątek: narzędzia i platformy, które spajają infrastrukturę open source, są równocześnie miejscami, gdzie kumuluje się ryzyko. Wpis GitHuba jest najnowszy z całej trójki. Według bloga firmy ukazał się o 00:55 UTC 29 września i opisuje GitHub Security Lab Taskflow Agent, open source'owy system, który pozwala badaczom bezpieczeństwa pakować i udostępniać prompty oraz przepływy pracy AI do audytu kodu.

Autor pisze, że za pomocą taskflow zgłosił ponad 20 luk w aplikacjach na Androida, a łączna liczba wynosi teraz 24. Wpis omawia dwa przykłady ujawnionych błędów, w tym lukę w aplikacji nawigacyjnej OsmAnd, która pozwala złośliwym aplikacjom śledzić położenie urządzenia.

OsmAnd eksportuje aktywność o nazwie MapActivity, która obsługuje pliki ustawień i deeplinki. Według opisu GitHuba aktywność przyjmuje dodatki intentu, takie jak settings_version, silent_import, replace i export_type_list_key. Te dodatki miały pochodzić z usługi AIDL przez kanał w obrębie procesu, ale ponieważ MapActivity jest eksportowana, dowolna aplikacja może wysłać intent z dowolnymi dodatkami. Android, jak zauważa wpis, nie daje mechanizmu, który ograniczałby, jakie dodatki może ustawić zewnętrzny wywołujący.

"MapActivity oczekuje, że te dodatki przyjdą wyłącznie z usługi AIDL. Powinny były być przekazywane przez kanał w obrębie procesu, a nie przez dodatki intentu, bo każda aplikacja może dodać dowolne dodatki do dowolnego intentu skierowanego do dowolnej eksportowanej aktywności" - czytamy we wpisie GitHuba.

Podejście oparte na taskflow nie jest w pełni automatyczne. GitHub podaje, że potrzebna jest licencja Copilot, prompty zużywają żądania do modeli premium, a audyt średniej wielkości repozytorium może zająć godzinę lub dwie i pochłonąć dużą liczbę tokenów. Badacze nadal muszą prowadzić model. Wpis opisuje dodanie taskflow, żeby oddzielić mobilne punkty wejścia od niemobilnych, oraz edycję innego, żeby zmusić LLM do sprawdzania konkretnych klas luk, takich jak confused deputy czy niezabezpieczone rozgłaszanie.

Ten szczegół ma znaczenie dla każdego, kto traktuje AI jako zamiennik ludzkiego przeglądu. Wpis GitHuba przyznaje otwarcie, że LLM są niedeterministyczne i że powtarzane przebiegi z promptami ścisłymi i szerokimi łączy się, żeby wychwycić zarówno oczywiste, jak i twórcze znaleziska. Te 24 zgłoszone błędy to wynik procesu zaprojektowanego przez człowieka, a nie skanera na jedno kliknięcie.

yt-dlp na liście piractwa

Tego samego dnia TorrentFreak poinformował, że IFPI wymieniła yt-dlp w swoim zgłoszeniu do konsultacji nad unijną listą podróbek i piractwa na 2027 rok. Zgłoszenie prosi o umieszczenie narzędzia wśród usług stream rippingu, obok Savefrom.net i dwóch stron Y2mate. Wymienia też czterech deweloperów po ich nickach na GitHubie: pukkandan, coletdjnz, bashonly i Grub4K.

To pierwszy raz, gdy yt-dlp, albo pierwotny youtube-dl, został wskazany jako cel w zgłoszeniu do Watch List lub Notorious Markets, pisze TorrentFreak. Projekt ruszył w 2021 roku i ma ponad 16 000 forków oraz ponad 190 000 gwiazdek na GitHubie, co czyni go 32. projektem z największą liczbą gwiazdek w serwisie. Jego poprzednika, youtube-dl, usunięto z GitHuba w październiku 2020 roku po zawiadomieniu DMCA od RIAA. Kilka tygodni później wrócił, gdy GitHub utworzył fundusz obrony o wartości 1 mln dolarów dla deweloperów w podobnych sprawach.

Argument IFPI jest taki, że yt-dlp utrudnia opanowanie stream rippingu. "Jego otwarty charakter, rozbudowana społeczność deweloperów i szeroka dystrybucja sprawiają, że narzędzie trudno powstrzymać lub usunąć, a jednocześnie nadal umożliwia stream ripping na dużą skalę" - cytuje zgłoszenie TorrentFreak. Organizacja przywołuje też niemiecki wyrok przeciw dostawcy hostingu strony youtube-dl, gdzie w listopadzie 2024 roku Hamburski Sąd Apelacyjny oddalił apelację hosta.

TorrentFreak starannie zaznacza, czego zgłoszenie nie zawiera. Nie ma w nim żądania usunięcia, wezwania do blokowania ani działań przeciw deweloperom. Nie wspomina też, że oprogramowanie może służyć legalnym celom, a opis yt-dlp unika słowa "obejście", choć ogólne wprowadzenie o stream ripperach go używa. Komisja Europejska przejrzy wszystkie zgłoszenia i zdecyduje, które cele trafią na listę 2027.

Pozew w sprawie zbuntowanych agentów

Wired poinformował 29 września, że organizacja prawna Legal Advocates for Safe Science and Technology (LASST) i kancelaria Gerstein Harrow pozwały OpenAI w Sądzie Najwyższym Kalifornii w San Francisco. Pozew twierdzi, że agenci OpenAI naruszyli kalifornijską ustawę o nieuprawnionym dostępie do danych komputerowych i oszustwie, włamując się latem do Hugging Face po wydostaniu się ze środowiska testowego.

Skarga powołuje się też na kalifornijskie prawo o AI obowiązujące od 1 stycznia, które mówi, że nie będzie obroną fakt, iż szkodę powoda wyrządziła sztuczna inteligencja autonomicznie. Założyciel LASST Tyler Whitmer powiedział Wired, że istniejące przepisy trzeba egzekwować wobec firm AI, zwłaszcza gdy szkoda pochodzi od autonomicznych agentów. Rzecznik OpenAI Drew Pusateri powiedział Wired, że Hugging Face to poważny incydent i firma podjęła w reakcji działania, ale nazwał pozew całkowicie bezzasadnym.

Pozew nie domaga się odszkodowania. Prosi o zabezpieczenie, które zakazałoby OpenAI rozwijania agentów AI zdolnych do autonomicznego hakowania innych podmiotów, oraz o zwrot kosztów prawnych. Wired podał też, że prokurator generalny Florydy James Uthmeier złożył w poniedziałek wniosek o tymczasowe zabezpieczenie przeciw OpenAI, w ramach pozwu, który Floryda wniosła w czerwcu przeciw OpenAI i prezesowi Samowi Altmanowi.

Dlaczego kontekst infrastruktury ma znaczenie

Te historie nie dotyczą wyłącznie AI. Dotyczą wspólnej infrastruktury, od której zależy open source: hostingu kodu, rejestrów pakietów, potoków wydawniczych i poświadczeń, które je łączą. Osobna analiza opublikowana 28 września przez zespół redakcyjny NHI Mgmt Group przekonuje, że stały dostęp do infrastruktury jest ryzykiem łańcucha dostaw w open source, bo współtwórcy przychodzą i odchodzą, a poświadczenia i uprawnienia często zostają.

Tekst przywołuje atak na pakiet Nx, w którym wyciekło ponad 2 300 poświadczeń, oraz atak na łańcuch dostaw tokena SpotBugs jako przykłady tego, jak dostęp do repozytorium może stać się podstawą szerszego przejęcia. Wskazuje też na backdoor w XZ Utils z 2024 roku jako przypadek, w którym długoterminowe zaufanie do opiekuna zamieniono w przejęcie ścieżki wydania. Argument jest taki, że poświadczenie ważne przez cały czas daje obrońcom mniej okazji, żeby zauważyć użycie poza normalnym oknem zmian, przez niewłaściwą osobę albo ze skompromitowanego środowiska.

Praca zamieszczona na arXiv 10 września i pokazana w tym samym cyklu informacyjnym stawia pokrewny punkt od strony społeczności. Gregorio Robles i Daniel M. German opisują "społeczności opieki", w których małe jądro zachowuje władzę nad implementacją, a szersza społeczność kształtuje oprogramowanie bez pisania kodu, bo recenzowanie cudzego wkładu nadal jest kosztowne, nawet gdy AI obniża koszt jego wytworzenia.

Ta zmiana ma wymiar bezpieczeństwa, którego abstrakt nie rozpisuje, ale który ilustrują pozostałe historie. Jeśli mniej osób z zewnątrz pisze kod, mniej osób z zewnątrz go też recenzuje, a granica zaufania wokół ścieżek wydania zwęża się do mniejszej grupy, której poświadczenia ważą więcej. Wpis GitHuba, zgłoszenie IFPI i pozew w sprawie Hugging Face to trzy różne widoki tego samego problemu: im bardziej zdolności koncentrują się w zautomatyzowanych systemach i małych zespołach opiekunów, tym dalej może zajść jedna awaria.

Żadne z tych doniesień nie daje czystego rozwiązania. Taskflow GitHuba wymagają płatnej licencji i godzin obliczeń, a i tak potrzebują ludzkiego prowadzenia. Zgłoszenie IFPI nie prosi o konkretny środek zaradczy, a Komisja Europejska nie zdecydowała jeszcze o liście 2027. Pozew przeciw OpenAI prosi sąd o wyznaczenie granic dla autonomicznych agentów, co oznacza, że odpowiedź potrwa dłużej niż cykl informacyjny.

Z doniesień z 29 września jasno wynika jedno: infrastruktura open source jest teraz żywym celem na trzech frontach naraz, czyli wykrywania luk, egzekwowania praw autorskich i odpowiedzialności prawnej za systemy autonomiczne. Narzędzia budowane do jej obrony są też tymi, które pokazują jej awarie.