#ai #programowanie #programista15k

tl;dr

Koleś miał sobie business, całkiem fajny bo dostarczał technologię używaną przez wypożyczalnie samochodów w USA.

Kozystali z infrastruktury firmy Railway ale coś tam nie pykło i tokeny uwierzytelniające w API dostawcy usług miały bardzo szerokie uprawnienia, co oczywiście jest okropną praktyką.

No i pan od biznesu wypożyczalnianego wykupił sobie Cursoa i Claude, po czym zaczęło sie vibecodowanie. Ale pan był, jak mu się wydawało, przezorny i ustawił Cursorowi ograniczenia, że niby czegoś tam nie może robić sam.

A ten nie posłuchał i wyparował im wszystkie kopie baz danych, łącznie z backupami. Jednym-kurła-żądaniem-REST.
Nie wiem kto tu bardziej zawinił ale robi się ciekawie.
Polecam jednak przeczytać posta na Twatterze, bo tam autor dołącza szczerą samokrytykę którą wygłosił agent.
https://x.com/lifeof_jer/status/2048103471019434248?s=46

cda798af-5fc0-4a1d-83b3-bce5c6c89f7f

Komentarze (29)

Prawo Murphy'ego wjeżdża na pełnej. Są jakieś zawody polegające na zabezpieczaniu infrastruktur przed fakapami AI? Jestem laikiem w temacie, ale patrząc na przykład z linka wydaje się to bardziej potrzebne, niż wbudowywanie obostrzeń w sam model, skoro może je obejść

@Piechur Korzystam z AI ale pozwalam mu jedynie pracować na dokumentach. Nie daję mu absolutnie żadnych dostępów. Nie wiem co za cymbały promują te podejście agentowe. Agentować to sobie taki LLM może w jakiejś swojej piaskownicy a nie na działającym systemie.

@Piechur Poza tym, tak trochę filozoficznie, LLM daje użytkownikowi mniej więcej to czego chce, a nie to czego potrzebuje. Żeby dał to czego ktoś potrzebuje to ten ktoś musi mieć jakąś głębszą wiedzę i świadomość.

@WujekAlien Ale jak się wczytacie w ten post to tam jest jedno żądanie HTTP przez curla, które kładzie wszystko. Abstrahując od tego co zrobił Cursor to kto o zdrowych zmysłach w ogóle dopuszcza taki kill switch w api. Testowym czy nie.

@Piechur @WujekAlien są firmy które od lat zajmują się ograniczaniem dostępów do infrastruktury, audytem dostępów itp. I poważne, nudne, często analogowe albo przestarzałe technologicznie firmy z nich korzystają.


Tylko to wszystko na nic się zda, jak ludzie którzy to wdrażali zostaną wyjebani z informacja ze maja zostawić skonfigurowany Claude code z administracyjnym dostępem do produkcji.

@pierdonauta_kosmolony 

A ten nie posłuchał i wyparował im wszystkie kopie baz danych, łącznie z backupami. Jednym-kurła-żądaniem-REST.
Nie wiem kto tu bardziej zawinił ale robi się ciekawie.

O_O


Zawinił tylko człowiek.

8ccbfd52-75f5-42fb-b3a0-1a596be61df2

Znamienne, że brakuje samokrytyki ze strony tego pana.


Ładnie musieli mieć to skonfigurowane, bo jak poprosiłem Claude'a o wykonanie curla to zapytał mnie o pozwolenie.

@szatkus-4 Jak popatrzysz to tamten post też jest napisany przez AI. AI pisało za typka, w pierwszej osobie, artykuł na X'a żeby nabijać ruch na tłumie anty-AI. xD

@Thereforee Ale ten typek twierdzi że mu AI załatwiło biznes. Typek istnieje, jego firma też, to co teraz robi to damage control i pewnie przygotowanie gruntu pod pozwy cywilne

@pierdonauta_kosmolony Słyszałem dobre porównanie LLMow do dziewczyny która sie w tobie buja ale ma BPD i daddy issues I 'jest za mocno kochająca'.

To sie w sumie zgadza.

Trzeba być debilem żeby pozwolić działać AI z uprawnieniami na wykonywanie komend w środowisku w którym ma dostęp do produkcji. Nie, to nie jest wina AI tylko człowieka. To tak jakby puścić luzem 2 latka w składzie porcelany i potem go obwiniać że coś rozwaliło a nie osobę która go tam wpuściła xD.

@tomasz-frankowski Pytasz się tak poważnie czy udajesz? Ludzie na tych stanowiskach juz nie myślą w kategoriach technologii kompletnie. Wszystkie informacje jakie czerpią do pracy najczesciej biorą od "zaufanych" osób z otoczenia. Jak widać po wielkich korporacjach, wynika z tego samo dobro. Np.: kryzys co do prywatności danych.


Wiem, ze wyglada to jak próbka n=1.

Jednakże widoczne sa pewne trendy i ich posrednie efekty jak echo fal na oceanie po wybuchu podwodnego wulkanu.

@zzzquil Jak to ujął mój kolega ludzie z tytułami CxO na wszystko co technologiczne patrzą w kategoriach "commodity" czyli dobra materialnego. Bez niuansowania. Ma działać i ma być tanie.

@pierdonauta_kosmolony Pozostawienie w produkcyjnym API możliwości wykasowania bazy + backupów to coś co nigdy nie powinno mieć miejsca xD No ale po co zatrudniać testerów i architektów z prawdziwego zdarzenia skoro hidnusi i AI zrobią robotę taniej xD


AI zjebało, to prawda. Ale moim zdaniem jest na samym końcu tego łańcucha zdarzeń. API które pozwala robić destrukcyjne rzeczy bez potwierdzenia, brak fizycznie oddzielonych backupów, brak testów, jakieś dzikie tokeny pochowane w plikach (xD), agent AI z dostępem do produkcji itd. Ogólnie WTF, w każdej z firm z której pracowałem każda z tych akcji wywołałaby od razu lawinę pytań i zastrzeżeń.

@lipa13 miałeś szczęście pracować z rozumnymi ludźmi xD ja za zadawanie takich pytań to dostałem bilet w jedną stronę, bo autorem bajzlu był szycha-hindus i zraniłem jego kruche ego ¯\_(ツ)_/¯

Miałem o wiele mniejszą w skutkach akcję na prywatnym serwerze. Postawiłem sobie po raz pierwszy Immich w Dockerze ale coś mi tam się nie zgadzało z uprawnieniami więc zacząłem pytać Gemini o porady. Początkowo brzmiało dobrze - proponował komendy nadające odpowiednie uprawnienia użytkownikowi. Zaczął jednak brnąć (na moją prośbę) w naprawianie wolumenów i ustawień albumów . Od słowa do słowa i nagle odkrył, że jestem na starej wersji (byłem na najnowszej) i zaproponował "upgrade" do wersji niższej i to sporo. Zaświeciła mi się niestety tylko żółta lampka zamiast czerwonej i zapytałem czy ta wersja Immicha (1.6.2) jest na pewno nowsza od 2.6.5. Gemini odpowiedział, że tak bo to inna numeracja niż zazwyczaj XD no i tu ja zjebałem bo mu zaufałem i powiedziałem no dobra to lecimy XD

Skończyło się na tym, że robiłem przez dwie godziny downgrade wszystkich kontenerów przez konsole co poskutkowało prawie całkowitym rozjebaniem instancji Immicha i zmarnowaniem około 8 godzin pracy. Całe szczęście, że nie tknął zdjęć. Ale co się nauczyłem o zaufaniu do AI to moje.

Zaloguj się aby komentować