Názory k článku
Mythos našel v nástrojích Curl jen jedinou málo závažnou bezpečnostní chybu

Bylo by zajimave ho pustit na kod, ktery obsahuje velmi nedavno odhalene bezpecnostni chyby. Aby bylo jasne ze nebyl trenovany na jejich opravach a potvrdil, ze je neprehledne. To by byla jina reklama, kdyby prehledl.

Ale ještě navíc by to nesměly být chyby odhalené Mythosem, a ideálně ani jinou AI. Což se těžko ověřuje.

A je někdo, kdo tenhle marketing okolo Mythos potvrdil? Mně to přijde celkem super prohlásit, že máte něco tak skvělého, že to nemůžete uvolnit lidem a těm, kterým to uvolníte, dáte podepsat NDA.

Třeba tady? https://www.root.cz/zpravicky/vyvojari-firefoxu-opravuji-bezpecnostni-chyby-s-ai-nejnovejsi-verze-jich-vyresila-271/

Jinak dělat závěry jen z výsledků na jediném projektu (curl) mi přijde dost předčasné. Je pořád brzy, některé opravy chvíli trvají, atd.

Když vidím ty záplavy updatů co se na nás hrnou, možná na tom něco je ...

Předminulý týden prý byl jeden z největších Microsoft Patch Tuesday ...

Tak je čas přepsat curl nanovo a v Rustu!

13. 5. 2026, 14:22 editováno autorem komentáře

Say no more!
https://github.com/Kei-K23/curlio

Dočkáš se.

Heleďte, curl je výstavní skříní (C / postaršího) softwaru. Je to, po boku jiných podobných velikánů jako openssh, extrémně exponovaný program. Zdaleka nejen z toho důvodu byl velmi pečlivě navržen a dodnes velmi pečlivě udržován. "Interní" postupy v oblasti (nejen) security by šly IMO rovnou překlopit do ISO standardu. Celkově je to prostě výborně udržovaný software. ALE, to se IMO nedá říct o drtivé většině těch ostatních. V mnohých případěch by programy benefitovaly z kompletního přepisu. A když už dělat přepis, proč ne v Rustu? Aniž bych chtěl zabrušovat do hloubky, rozměr Rustu při přepisech je často více věcí sociální / ergonomický / mezi-generační - no prostě, mladí chtějí psát v Rustu. A to samo o sobě je silným argumentem. Pokud si jako správce projektu musíte vybrat mezi "nadále v jazyce, který mladí nechtějí používat, ale je lepší", nebo "jazyce, který mladí chtějí používat, ale je horší", co si vyberete, pokud vám jde o dlouhodobou udržitelnost projektu? A vůbec netřeba zabrušovat do těch technických rozdílů lepší/horší...

Nezpochybňuju, že je CURL dobře udržovaný program. Přesto tam AI analýza našla za rok něco mezi 200-300 bugů (info z odkazovaného blogu).
Když jsme u těch přepisů, mladí hlavně nechtějí C/C++. Nejsem si až tak jistý, jestli z toho lze implikovat, že chtějí Rust.

Souhlas a souhlas. Já necílil na to, že je curl je bez chyby. Reagoval jsem na dnes typický flame mezi-generační příspěvěk "beztak to někdo bude chtít přepsat do Rustu a mě se to nelíbí už a priori". Na druhou stranu, abych reagoval přímo na Váš příspěvěk, Mythos, jakožto marketingový self-proclaimed benchmark AI hledačů chyb, nenašel takřka nic.

A že "nechci C" neimplikuje "chci Rust", souhlasím. To se rozhodně říct nedá. Ale dá se dnes trvdit obojí samostatně - nechtějí psát C, chtějí psát Rust. A když přimyslím různými anketami přisuzovanou oblíbenost Rust, vyplývá mi z toho korelace. A když se podívám na trend jazyky např. v tech DACH oblastech, např. automotive, padá z toho (v rámci těch nových jazyků) jen a pouze Rust.

Rozlišujme "mladí" vs. "frikulíni".

Jenze to neni o veku ...

Vyvojari je jedno v cem pise, a cim je zkusenejsi, ti vic chce mit kontrolu nad vysledkem = pude spis smerem k tomu Ccku.

Patlal, kterej vlastne netusi co dela, samozrejme potrebuje neco, co to bude pokud mozno patlat za nej. A takovymu samozrejme kdyz predhodis Ccko, tak se mu zjezech chlupy na palcich, protoze vubec netusi co to vlastne dela. A kdyz po nem chces helo world, vyrazi krmit nejaky AIcko a prinese ti GB binarku.

Výborný nápad. Co implementace? Jak to navrhujete udělat? Osobní pohovor s Vámi pro každého commitera na Githubu, který zmíní přepsání do něčeho v Rustu? A když ho označíte jako frikulína, tak mu dáme ban. Tohle by šlo? A jako bootstrap problém, jak vyloučíme, že vy nejste frikulín?

Holt stejně jako soudný člověk před 15 lety nezačal psát v Kobolu, protože byl už dávno za zenitem, dnešní soudný mladý člověk nezačne psát v plain Cčku, protože mu pomalu ale jistě zvoní umíráček. Tak to je, co generace to nový (a mnohdy lepší) jazyk

Ale to se nesmí říkat, protože tím uražíš útlocit gerontů a jsi frikulín.

Pise se Cobol. Kobol neexistuje a nesedi to do zkratky.
V Cobolu vetsinou mlady clovek zacne delat pokud chce hodne penez a rychle.

tyto valky jazyku jsou zvlastni. Rekl bych, ze sluzebne starsi na to kaslou a vydelavaji prachy klidne v tom COBOLu nebo C.

Ale btw na zaklade ceho je opren nazor, ze Ccku "pomalu ale jistě zvoní umíráček"? Existujici statistiky tedy rikaji neco jineho. Takze je to nazor podlozenej daty nebo je zalozenej na nejake rekneme socialni hype bubline?

Zartujete? CURL je nejaku userspace program. openssh je suid-ovany demon pocuvajuci na porte. Dve bezpecnostne absolutne diametralne odlisne veci.

Obojí má dost velký attack surface. A curl je i knihovna.

Nežertuji. Curl rozhodně není jen userspace program. Dokonce bych se hádal, že jím není ani primárně. Je to také knihovna a zřejmě byste se divil, kde všude je používaná. libcurl je na miliardách zařízení a bez pochyby se jedná o jednu z nejrozšířenějších softwarových komponent na světě. Abych to řekl stručně, používá se úplně všude. Najdeteho ve svém autě, telefonu, televizi, digitálním piánu, chytré ledničce, kameře nad vchodem....... Z pohledu globální kritičnosti tohoto softwaru, včetně jeho bezpečnosti, bych naopak řekl, že sedí přesně vedle openssh. [https://xkcd.com/2347/]

14. 5. 2026, 11:37 editováno autorem komentáře

ale pořád to je userspace, ne? :)

Trochu problém je, že se spouští běžně i pod rootem. Daniel Stenberg byl ale od počátku v kvalitě kódu velmi důsledný, je to jedna z prvních knihoven, kde jsem viděl pěkně použitý fuzzing, regresní testy, sanitizace vstupu a vlastně jsem se v tom hodně inspiroval při studiu kódu. V posledních letech jde vidět, že na bezpečnost a odstranění potenciálních míst jde dost energie a proaktivní opravy jsou součástí každé release.

"suidovany demon" je tiez userspace.

Tyhle války mezi zástupci či odpůrci programovacích jazyků jsou zřejmě věčné...
Mne programování neživí, takže můj pohled je trochu zvnějšku té bitevní vřavy - tak to tak, páni programátoři a programátorští teoretici, berte. S počítači jsem začínal v dobách, kdy BASIC vládl všem, odstrkovaný, vysmívaný, ale všudypřítomný. Na velkých počítačích se psalo ve Fortranu, PL/1, ba nějaké to C se našlo, a hlavním heslem bylo: zpracování dat. Na malých strojích, ať to byly osmibity nebo PC, se prosazovaly Assemblery, Pascal (můj oblíbený!), C (to jsem se učil z knížky od pánů Kernighana a Ritchieho), všude byl již zmíněný BASIC (v různých nářečích). Pokud to šlo hluboko do systému nebo až přímo na hardware, skoro vždy to bylo C - na tové věci je prostě nejvhodnější.
Postupně se C změnilo v C++ (a zvlčilo do C#), ale pořád to je to staré dobré Céčko. Kolem vykvetla Java (dobrý koncept s bytekódem a garbage collectorem, ale spolehnout se na to nedá).
Někdy tou dobou se počítače rychle propojovaly do stále větších sítí, a novým heslem doby byla komunikace. Kralování systémáků skončilo, vlády se ujali síťaři. A někde na periferii scriptovacích jazyků webu zuřil boj mezi gangy JSP a PHP, džungli zpracování dat ovládly různé SQL (a NoSQL) dialekty.
Front-end přešel od TUI, různých GUI, až k WUI - webovým rozhraním. JavaScript zřejmě definitivně zahnal BASIC na ústup, na poli shellů stále probíhají lokální půtky mezi bash, ash, ksh, zsh... - zatímco Windows se od cmd (bat) přes VBS (pořád ten BASIC!) dopracovaly k PowerShellu.
Na krále běžného domácího programování se vypracoval Python - takový BASIC bez GOTO, kde nejdůležitějším znakem je mezera. To velké programování se odehtávalo v Javě, Ruby... a Rustu.
Pro mne, nevinnou obět tohoto programátorského válčení, je to jen další programovací jazyk. Tady v zázemí je mi venkoncem jedno, jestli je curl psané v C nebo v Rustu - hlavně, ať to funguje pořád stejně. Zpětná kompatibilita je důležitá, protože na ní závisí miliony drobných scriptů, které nám staří programátoři sepsali pro snadnou údržbu těch složitých systémů, než odešli do důchodu - a nová generace nemá jejich cit pro jednorázový jednoúčelový kód.
Staří programátoři měli svou kulturu. Přidávání různých easter-eggs byla forma komunikace mezi programátory (i uživateli), odlehčení. Když během hektického nočního honu na chybu vypsal man na obrazovku gimme gimme gimme, bylo to příjemné odlehčení, nikoliv důvod volat po bezpečnostní revisi kódu. Když místo výpisu souborů po překlepu sl projel po obrazovce vlak, jen jsem si uvědomil, že už nevidím, co píšu - a nepřemýšlel nad tím, kdo ten balíček nainstaloval a jak to mohlo projít přes audit.

Dneska se všichni ti programátoři berou moc vážně a schovávají to za profesionální přístup.
A vrcholem je, když se tenhle boj - v podstatě jen řevnivost mezi fanoušky - přeleje do pater managementu, kde tomu nikdo nerozumí, ale má pocit, že se to musí nějak uchopit a regulovat. Pak se člověk naděje takových dotazů, jako nedávno v jednom nejmenovaném korporátu: Když místo C budeme používat Rust, bude to mít přínos pro genderovou rovnost nebo spíš enviromentální udržitelnost?

Proc ? Abych stravil hodiny tim, ze budu badat, proc neco najednou prestalo fungovat, nebo hur, dny tim, ze budu zjistovat, proc to funguje JINAK ? To si muzu rovnou instalovat win11

Moja skúsenosť s LLM za posledné 3 roky (áno trochu subjektívna, aj keď čo sledujem iných ľudí čo sa tomu venujú vyzerá že to skôr potvrdzujú) je takáto:

3 roky dozadu LLM dávali výstup fakt v náhodnej kvalite, bolo veľa halucinácií, absolútne out of context výstupov, totálne dopletený ako to len šlo, ale sem tam to dalo aj celkom slušný výstup (asi tak 1 z 500 pokusov), kedy si človek povedal "wow, tak toto je fakt kvalita".
Dnes mám pocit že síce zlepšili kvalitu odpovedí v prípade tých najhorších výstupov, no už si "wow, tak toto je fakt kvalita" nepovieš ani v 1 z 10 tisíc pokusov.
Je to skoro akoby sa rozličnosť v kvalite výstupov smrskla a dnes máme len výstupy čo nie sú vyložene nepoužiteľný odpad, kedy si sa spýtal na jablko a ono ti to odpovedalo o vysávači na streche vidličky, ale za to ti to nikdy ani nedá skutočne kvalitný výstup. Myslím že je to najmä z dôvodu že sa LLM začali učiť na svojom vlastnom vygenerovanom slopu.
Proste taká homogenizácia k priemeru.

13. 5. 2026, 19:42 editováno autorem komentáře

Tak zrovna Curl je už různými AI prověřen opakovaně, ne? Puste to na kód, který AI dosud neviděla.