January 2023 - nexa - server-nexa.polito.it

Re: [nexa] The End of Programming

by 380°

Buongiorno, attenzione perché anche i programmatori, a volte, nel loro piccolo, si incazzano Alberto Cammozzo via nexa <nexa(a)server-nexa.polito.it> writes: [...] > <https://cacm.acm.org/magazines/2023/1/267976-the-end-of-programming/fulltext> > Viewpoint > The End of Programming > By Matt Welsh > Communications of the ACM, January 2023, Vol. 66 No. 1, Pages 34-35 > 10.1145/3570220 [...] > I am talking about /replacing the entire concept of writing programs > with training models./ In the future, CS students are not going to need > to learn such mundane skills as how to add a node to a binary tree or > code in C++. That kind of education will be antiquated, like teaching > engineering students how to use a slide rule. a furia di insistere probabilmente riusciranno a convincere tutti gli studenti di informatica e, per sfinimento, tutti i docenti, che imparare a programmare in C [0] (ma metteteci dentro anche Assembler, Rust o qualsiasi altro linguaggio che consente "interazioni a basso livello") non servirà più perché non sarà "richiesto dal mercato" ...solo che a un certo punto non ci saranno più persone che sono in grado di progettare un chip a circuiti logici (CPU, GPU), kernel per poter far usare le CPU alle applicazioni; diciamo che già adesso si cominciano a vedere i promi probemini a livello applicativo (cominciate quindi a SINTETIZZARE Linus Torvalds & co stile Trascendence perché Linux non saprà più programmarlo nessuno...?!?) tra l'altro, quando e SOLO quando una applicazione di uso comune sarà interamente programmata da un modello AI allora potremmo COMINCIARE a parlare della sua qualità, del suo debugging (chi lo fa, un'altro modello AI?) e delle potenziali backdoors inserite... che mancando il sorgente nessuno sarà in grado di individuare, solo di DIVINARE lo dico in termini tecnici: come diavolo si fa anche solo a pensare di affrontare il problema chiaramente illustrato in "Reflections on Trusting Trust" [1] di Ken Thompson illustrato al mondo nel 1984 e AMPIAMENTE ignorato da quella stessa "industria" che ora straparla di modelli AI in grado di programmare [...] > The bulk of the intellectual work of getting the machine to do what > one wants will be about coming up with the right examples, the right > training data, and the right ways to evaluate the training > process. ROTFL: https://nooscope.ai/ [2] quindi, invece che programmazione gli studenti di informatica di oggi dovranno diventare SUPER esperti in statistica ("right ways to evaluate the training process": una robina da niente, eh :-O ) lo dico semplice semplice: si fa prima a imparare a programmare :-D > Suitably powerful models capable of generalizing via few-shot > learning will require only a few good examples of the task to be > performed. Massive, human-curated datasets will no longer be necessary > in most cases, and most people "training" an AI model will not be > running gradient descent loops in PyTorch, or anything like it. They > will be teaching by example, and the machine will do the rest. per la miseria, ha nominato proprio l'esempio PERFETTO: PyTorch... ROTFL l'ho già segnalato, lo /ribadisco/: https://pytorch.org/blog/compromised-nightly-dependency/ «Compromised PyTorch-nightly dependency chain» questo giusto come "cliffhanger" della puntata "Reflection on Trusting Trust of Untrustable (unexplainable) Sources" chiudo con una riflessione: ma cosa c'è di così spaventoso nell'apprendimento della programmazione delle macchine programmabili?!? [3] saluti, 380° [0] (la numerazione delle note parte da zero, non è casuale ;-) ) invece di perdere tempo con l'AI che programma da sola, sarebbe il caso di affrontare seriamente tutti i problemi del "undefined behaviour" connaturati in C; questi sono i problemi, santa pazienza! [1] https://www.cs.cmu.edu/~rdriley/487/papers/Thompson_1984_ReflectionsonTrust… [2] suggerimento: ogni volta che qualcuno, anche il più intelligente degli scienziati dell'universo, sostiene che QUALSIASI attività creativa umana (programmare è una attività creativa, mettetevi il cuore in pace) può essere sostituita con AI (ristretta), invitatelo a scrivere un articolo che confuti uno per uno gli argomenti discussi in quel paper ;-) [3] ribadisco che anche la configurazione del software è una forma di programmazione -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Jan. 20, 2023

Re: [nexa] Could a robot ever recreate the aura of a Leonardo da Vinci masterpiece? It’s already happening

by maurizio lana

> riferimenti più precisi in merito alla produzione delle immagini per quella campagna? in questo articolo "The San Francisco Ballet Is Catching Heat for Promoting Its ‘Nutcracker’ Performances With A.I.-Generated Art " del 23 dicembre 2022 (https://sfwrunway.com/the-san-francisco-ballet-is-catching-heat-for-promoti…) c'è una dichiarazione del portavoce del SF Ballet in merito all'utilizzo delle 30 persone : > “Almost 30 designers, producers, and creatives from native promoting > company contributed to our Nutcracker marketing campaign, which > presents us an opportunity to experiment with in the present day’s > technological instruments,” a SF Ballet spokesperson informed Artnet > Information through e mail. “We make use of a whole lot of San > Francisco artists on our phases, in our orchestra pit, and behind the > scenes each season, together with within the creation of our > advertising campaigns, and we glance ahead persevering with to take > action sooner or later.” il sito di BSSP (l'agenzia di comunicazione) comprensibilmente, credo, non dettaglia come ha operato con l'IA per il il SF Ballet (https://bssp.com/work/work-san-francisco-ballet-nutcracker/) perché questo è 'segreto industriale' in un certo senso Maurizio Il 20/01/23 10:25, 380° <g380(a)biscuolo.net> ha scritto: > Alberto Cammozzo via nexa<nexa(a)server-nexa.polito.it> writes: >> Anyone inclined to dismiss the idea that AI could take over creative >> jobs as scaremongering should know: it is already happening. This >> winter, San Francisco Ballet used the independent research lab >> Midjourney to create the visual campaign for its production of The >> Nutcracker (although a representative for the ballet said that, >> despite using AI, nearly 30 human designers, producers, and creatives >> were also employed in the campaign’s making). > per favore Alberto o qualcun altro ha dei riferimenti più precisi in > merito alla produzione delle immagini per quella campagna? > > Io non trovo da nessuna parte la dichiarazione del rappresentante del > BSSP in merito all'utilizzo delle 30 persone impiegate nella campagna e > in che modo hanno interagito con gli strumenti basati sul machine > learning > > qui un articolo: > https://www.lbbonline.com/news/bssp-taps-ai-to-reimagine-the-nutcracker-for… > > ...ma non dice molto > > [...] > > saluti, 380° > ------------------------------------------------------------------------ lo straniero non parla e non capisce la nostra lingua, che non è più nostra, perché la nostra vera lingua diventa la traduzione, lo scambio l. ferrieri, dalla public library all’open library ------------------------------------------------------------------------ Maurizio Lana Università del Piemonte Orientale Dipartimento di Studi Umanistici Piazza Roma 36 - 13100 Vercelli

Jan. 20, 2023

Re: [nexa] Intelligenza artificiale fatta a mano

by 380°

Daniela Tafani <daniela.tafani(a)unipi.it> writes: [...] > Demistificare una narrazione non è l'intera soluzione, ma è senz'altro > un'azione concreta. diciamo che chi ben comincia è già a metà dell'opera... e in questo caso secondo me anche oltre la metà se chi "investe" quantità vergognosamente spropositate di risorse (per tutto tranne che per il remunerare degnamente il lavoro umano) nelle applicazioni AI si rendesse conto dell'illusione che sta rincorrendo (incluso rimpiazzare il lavoro umano con sistemi AI), l'intero castello di carte crollerebbe presto attendo con ansia il prossimo "inverno AI" :-) [...] saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Jan. 20, 2023

Re: [nexa] Intelligenza artificiale fatta a mano

by 380°

Buongiorno, complimenti a Daniela Tafani per la frase in oggetto, la metto nella mia personalissima libreria :-) Enrico Nardelli <nardelli(a)mat.uniroma2.it> writes: > Grazie Damiano, ne approfitto per ricordare che le pratiche di questa > AI "né intelligente né artificiale" (per echeggiare il titolo del bel > libro di Kate Crawford) sono state abbondantemente documentate, tra > gli altri (chiedendo scusa a chi non cito) da Antonio Casilli in > "Schiavi del clic". e ancora prima nel documentario "Invisibles - Les travailleurs du clic" https://www.france.tv/slash/invisibles/, segnalato dallo stesso Antonio il 12 Feb 2020 [1], che dovrebbe essere disponibile anche su Peertube > Purtroppo, questo "lato oscuro" dell'AI mi pare sia scarsamente e > raramente presente sui media nostrani... perché in informatica l'ignoranza è a livelli insostenibili (io sono per l'economia sostenibile a 360° :-) ) e nessuno se ne vergogna minimamente, anzi sono quelli meno ignoranti a vergognarsi di dire certe cose perché rischiano di venire trattati come gente fuori dal mondo in merito all'utilizzo dell'AI per produrre /la qualsiasi/ opera creativa (e non) sto leggendo di quelle puttanate, perdonate il francesismo ma quando ci vuole ci vuole, che non bastano tutti i libri fatti bene - come quello di Antonio Casilli o https://nooscope.ai/, ma sono solo un paio di esempi che mi vengono in mente "al volo" - per descrivere i modi in cui sono bacate simili concezioni [...] saluti, 380° [1] Msg-id:215293102.30138779.1581541585145.JavaMail.zimbra@enst.fr -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Jan. 20, 2023

Re: [nexa] Could a robot ever recreate the aura of a Leonardo da Vinci masterpiece? It’s already happening

by 380°

Buongiorno, Alberto Cammozzo via nexa <nexa(a)server-nexa.polito.it> writes: [...] > Anyone inclined to dismiss the idea that AI could take over creative > jobs as scaremongering should know: it is already happening. This > winter, San Francisco Ballet used the independent research lab > Midjourney to create the visual campaign for its production of The > Nutcracker (although a representative for the ballet said that, > despite using AI, nearly 30 human designers, producers, and creatives > were also employed in the campaign’s making). per favore Alberto o qualcun altro ha dei riferimenti più precisi in merito alla produzione delle immagini per quella campagna? Io non trovo da nessuna parte la dichiarazione del rappresentante del BSSP in merito all'utilizzo delle 30 persone impiegate nella campagna e in che modo hanno interagito con gli strumenti basati sul machine learning qui un articolo: https://www.lbbonline.com/news/bssp-taps-ai-to-reimagine-the-nutcracker-for… ...ma non dice molto [...] saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Jan. 20, 2023

Re: [nexa] Intelligenza artificiale fatta a mano

by Alberto Cammozzo

Grazie per i riferimenti, molto utili! Quanto alla "faccia tosta e all'onestà intellettuale", con quel pesante sapore di disprezzo nei confronti degli utenti che lavorano per loro, demistifichiamo anche il pesce d'aprile di Google del 2002, il celebre "pigeonrank" <https://archive.google.com/pigeonrank/>: "One of the most promising projects in development involves harnessing millions of pigeons worldwide to work on complex scientific challenges." G sembra tutt'ora affezionata alla metafora volatile: l'alternativa ai cookies proposta nel 2021 si chiama FLOC (pun intended con "flock", cioè le "coorti" di utenti da monitorare): <https://blog.google/products/ads-commerce/2021-01-privacy-sandbox/> La nota è più amara sapendo quanto (come evidenziato dalla Zuboff), le teorie comportamentiste skinneriane, sperimentate appunto sui piccioni, sono il fondamento epistemologico del business model di Google (e degli altri): il "behavioral surplus", anche se nella versione più aggiornata di Alex Pentland (Social Physics, 2014) Sull'eredità di Skinner e le “Persuasive technologies” ho trovato molto interessante questo lavoro di Audrey Watters : <http://hackeducation.com/2018/06/15/pigeons> . Un saluto, Alberto On 19/01/23 20:00, Daniela Tafani wrote: > > Grazie molte di aver segnalato di nuovo l'articolo precedente > > (lo scorso febbraio non ero ancora iscritta a questa lista). > > > Ringrazio anche il professor Nardelli per aver ricordato i lavori di > Kate Crawford e Antonio Casilli > (è di quest'ultimo l'espressione "intelligenza artificiale fatta a > mano", che, come i "SALAMI" di Stefano Quintarelli, > per me fa parte ormai del dizionario). > Invito sempre gli studenti a leggerli, insieme a > > Antonio Aloiso, Giuseppe De Stefano, Il tuo capo è un algoritmo. > Contro il lavoro disumano, Bari-Roma, Laterza, 2020 > > > /How Crowdworkers Became the Ghosts in the Digital Machine/ > > <https://www.thenation.com/article/archive/how-crowdworkers-became-ghosts-di… > <https://www.thenation.com/article/archive/how-crowdworkers-became-ghosts-di…>> > > (per parlare della sfacciataggine - e, al tempo stesso, onestà > intellettuale - del chiamare "Turco meccanico" la propria piattaforma > per il lavoro digitale > > e di > > “Before the Internet, it would be really difficult to find someone, > sit them down for ten minutes and get them to work for you, and then > fire them after those ten minutes. But with technology, you can > actually find them, pay them the tiny amount of money, and then get > rid of them when you don’t need them anymore.") > > > e > > > Alexandra Mateescu Madeleine Clare Elish, /AI in context, the labor of > integrating new technologies/, Data & Society, 2019 > > <https://datasociety.net/library/ai-in-context/ > <https://datasociety.net/library/ai-in-context/>> > > > D'ora in poi, per una sintesi sulla questione, c'è anche > > > The Exploited Labor Behind Artificial Intelligence > > <https://www.noemamag.com/the-exploited-labor-behind-artificial-intelligence/ > <https://www.noemamag.com/the-exploited-labor-behind-artificial-intelligence/>> > > > Demistificare una narrazione non è l'intera soluzione, ma è senz'altro > un'azione concreta. > > > Grazie ancora, un saluto, > Daniela > > ------------------------------------------------------------------------ > *Da:* nexa <nexa-bounces(a)server-nexa.polito.it> per conto di Damiano > Verzulli <damiano(a)verzulli.it> > *Inviato:* mercoledì 18 gennaio 2023 22:52 > *A:* nexa(a)server-nexa.polito.it > *Oggetto:* Re: [nexa] Intelligenza artificiale fatta a mano > Il 18/01/23 18:45, Daniela Tafani ha scritto: > > OpenAI Used Kenyan Workers on Less Than $2 Per Hour to Make ChatGPT > Less Toxic > > https://time.com/6247678/openai-chatgpt-kenya-workers/ > > > > [...] > > In its quest to make ChatGPT less toxic, OpenAI used outsourced > Kenyan laborers earning less than $2 per hour, a TIME investigation has > found. > > [...] > > Mi pare una sorta di followup di quanto fu segnalato, sempre dal Time, > lo scorso febbraio 2022 [1], puntualmente passato su questa lista grazie > ad un messaggio del Prof. Nardelli [2]. > > Resta in me l'amarezza del non poter far nulla di concreto per (provare > a) invertire la rotta [3] > > Un saluto, > DV > > [1] > https://time.com/6147458/facebook-africa-content-moderation-employee-treatm… > [2] https://server-nexa.polito.it/pipermail/nexa/2022-February/023317.html > [3] https://server-nexa.polito.it/pipermail/nexa/2022-February/023319.html > > > -- > Damiano Verzulli > e-mail: damiano(a)verzulli.it > --- > possible?ok:while(!possible){open_mindedness++} > --- > "...I realized that free software would not generate the kind of > income that was needed. Maybe in USA or Europe, you may be able > to get a well paying job as a free software developer, but not > here [in Africa]..." -- Guido Sohne - 1973-2008 > http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Jan. 19, 2023

Re: [nexa] Intelligenza artificiale fatta a mano

by Daniela Tafani

Grazie molte di aver segnalato di nuovo l'articolo precedente (lo scorso febbraio non ero ancora iscritta a questa lista). Ringrazio anche il professor Nardelli per aver ricordato i lavori di Kate Crawford e Antonio Casilli (è di quest'ultimo l'espressione "intelligenza artificiale fatta a mano", che, come i "SALAMI" di Stefano Quintarelli, per me fa parte ormai del dizionario). Invito sempre gli studenti a leggerli, insieme a Antonio Aloiso, Giuseppe De Stefano, Il tuo capo è un algoritmo. Contro il lavoro disumano, Bari-Roma, Laterza, 2020 How Crowdworkers Became the Ghosts in the Digital Machine <https://www.thenation.com/article/archive/how-crowdworkers-became-ghosts-di…> (per parlare della sfacciataggine - e, al tempo stesso, onestà intellettuale - del chiamare "Turco meccanico" la propria piattaforma per il lavoro digitale e di “Before the Internet, it would be really difficult to find someone, sit them down for ten minutes and get them to work for you, and then fire them after those ten minutes. But with technology, you can actually find them, pay them the tiny amount of money, and then get rid of them when you don’t need them anymore.") e Alexandra Mateescu Madeleine Clare Elish, AI in context, the labor of integrating new technologies, Data & Society, 2019 <https://datasociety.net/library/ai-in-context/<https://datasociety.net/library/ai-in-context/>> D'ora in poi, per una sintesi sulla questione, c'è anche The Exploited Labor Behind Artificial Intelligence <https://www.noemamag.com/the-exploited-labor-behind-artificial-intelligence/<https://www.noemamag.com/the-exploited-labor-behind-artificial-intelligence/>> Demistificare una narrazione non è l'intera soluzione, ma è senz'altro un'azione concreta. Grazie ancora, un saluto, Daniela ________________________________ Da: nexa <nexa-bounces(a)server-nexa.polito.it> per conto di Damiano Verzulli <damiano(a)verzulli.it> Inviato: mercoledì 18 gennaio 2023 22:52 A: nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] Intelligenza artificiale fatta a mano Il 18/01/23 18:45, Daniela Tafani ha scritto: > OpenAI Used Kenyan Workers on Less Than $2 Per Hour to Make ChatGPT Less Toxic > https://time.com/6247678/openai-chatgpt-kenya-workers/ > > [...] > In its quest to make ChatGPT less toxic, OpenAI used outsourced Kenyan laborers earning less than $2 per hour, a TIME investigation has found. > [...] Mi pare una sorta di followup di quanto fu segnalato, sempre dal Time, lo scorso febbraio 2022 [1], puntualmente passato su questa lista grazie ad un messaggio del Prof. Nardelli [2]. Resta in me l'amarezza del non poter far nulla di concreto per (provare a) invertire la rotta [3] Un saluto, DV [1] https://time.com/6147458/facebook-africa-content-moderation-employee-treatm… [2] https://server-nexa.polito.it/pipermail/nexa/2022-February/023317.html [3] https://server-nexa.polito.it/pipermail/nexa/2022-February/023319.html -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Jan. 19, 2023

Il progetto "GAFAM Empire"

by J.C. DE MARTIN

https://gafam.theglassroom.org/ *GAFAM Empire* is a project in which we look at all the known acquisitions conducted by five big tech companies: Google, Amazon, Facebook, Apple, and Microsoft, from the moment they made their first one to the end of summer of 2022, when we stopped collecting data. Why do we call it an empire? Our focus is on trying to understand how these companies purchase their power and ability to grow their respective market positions based on their information infrastructure through the simple operation of acquiring other businesses and their products. Our understanding of empire here is very basic: empire controls three basic layers of knowledge: 1) collection of data/intelligence, 2) storage of that intelligence as well as 3) capacity of processing it. These three unique characteristics give them powerful and unprecedented insights into how our societies operate. Why are we not calling them monopolies? Because this framing based on the idea of limited resources and competition for consumers frankly does not apply - the resources are unlimited - and that is /our data and attention/. When it comes to competition we are free to chose the ones we like - we can use products of them all in fact. In short we call them empires in a collonial sense, as in /digital colonialism/ and not monopolies in a market competition sense. All of these five companies dominate the space of collecting data (number of users), managing and processing that data (cloud and other infrastructures they own, including hardware) as well as processing and analysing that data (machine learning, AI, algorithms). They all monetize this dominant position, making them the richest tech companies out there. How big are they, which sectors do they dominate and in which do they compete, what futures are they trying to prepare for? It is obvious that for them the ideal future is the one where we do everything online, everything is digital and goes though their channels. These were the questions driving our research and this visualization. You can learn more about the data used here in the Methodology section, however, we have to say that the data we acquired has significant limits. One would hope that there is a clear way of learning how much each of these acquisitions was worth; sadly that is not the case. This specific data is sporadic and often unreliable. It would be great to know the exact reasons for each of the acquisitions - this is also very arbitrary and ephemeral - as the descriptions of purchased companies and products often do not reflect the actual reasons of purchases: was it buying a product, buying out a competitor, absorbing talent, skills, or expertise, or to exploit the content (which is why GitHub users filed a class-action lawsuit against Microsoft for training an AI tool with their code)? *So what is it that you can actually learn here?* We can learn how they grew - which sectors they expanded to, what types of know-how they absorbed, and in fact who they actually are besides who we think they are. We, the users of their services, often associate who they are with the most popular services we use, but looking at their acquisitions we are looking at a very different picture - a picture dominated by strategic purchases and political visions. In 2021 alone it is estimated that the technology acquisition market exceeded over three trillion US dollars. It is not insignificant what they acquire and we should know more about why.

Jan. 19, 2023

Re: [nexa] Intelligenza artificiale fatta a mano

by Enrico Nardelli

Grazie Damiano, ne approfitto per ricordare che le pratiche di questa AI "né intelligente né artificiale" (per echeggiare il titolo del bel libro di Kate Crawford) sono state abbondantemente documentate, tra gli altri (chiedendo scusa a chi non cito) da Antonio Casilli in "Schiavi del clic". Purtroppo, questo "lato oscuro" dell'AI mi pare sia scarsamente e raramente presente sui media nostrani... Ciao, Enrico Il 18/01/2023 22:52, Damiano Verzulli ha scritto: > Il 18/01/23 18:45, Daniela Tafani ha scritto: > > OpenAI Used Kenyan Workers on Less Than $2 Per Hour to Make ChatGPT Less Toxic > > https://time.com/6247678/openai-chatgpt-kenya-workers/ > > > > [...] > > In its quest to make ChatGPT less toxic, OpenAI used outsourced Kenyan laborers earning less than $2 per hour, a TIME investigation has found. > > [...] > > Mi pare una sorta di followup di quanto fu segnalato, sempre dal Time, lo scorso febbraio 2022 [1], puntualmente passato su questa lista grazie ad un messaggio del Prof. Nardelli [2]. > > Resta in me l'amarezza del non poter far nulla di concreto per (provare a) invertire la rotta [3] > > Un saluto, > DV > > [1] https://time.com/6147458/facebook-africa-content-moderation-employee-treatm… > [2] https://server-nexa.polito.it/pipermail/nexa/2022-February/023317.html > [3] https://server-nexa.polito.it/pipermail/nexa/2022-February/023319.html > > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa -- -- EN https://www.hoepli.it/libro/la-rivoluzione-informatica/9788896069516.html ====================================================== Prof. Enrico Nardelli Presidente di "Informatics Europe" Direttore del Laboratorio Nazionale "Informatica e Scuola" del CINI Dipartimento di Matematica - Università di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma home page: https://www.mat.uniroma2.it/~nardelli blog: https://link-and-think.blogspot.it/ tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it online meeting: https://blue.meet.garr.it/b/enr-y7f-t0q-ont ====================================================== --

Jan. 19, 2023

[supply chain attack] Compromised PyTorch-nightly dependency chain

by 380°

Buongiorno, notizia un po' tecnica ma spero abbastanza comprensibile a tutti. https://pytorch.org/blog/compromised-nightly-dependency/ «Compromised PyTorch-nightly dependency chain» Si tratta dell'ennesimo attacco /supply chain/ causato da uno dei tanti (troppi) package manager e relativi repository progettati e implementati talmente male che davvero peggio non si può. Il succo del problema è questo: --8<---------------cut here---------------start------------->8--- At around 4:40pm GMT on December 30 (Friday), we learned about a malicious dependency package (torchtriton) that was uploaded to the Python Package Index (PyPI) code repository with the same package name as the one we ship on the PyTorch nightly package index. Since the PyPI index takes precedence, this malicious package was being installed instead of the version from our official repository. This design enables somebody to register a package by the same name as one that exists in a third party index, and pip will install their version by default. This malicious package has the same name torchtriton but added in code that uploads sensitive data from the machine. --8<---------------cut here---------------end--------------->8--- Sostanzialmente su PyPI (et al.) chiunque può caricare un pacchetto col nome che vuole e questo viene **ufficialmente** distribuito a tutti gli utenti "pip". La vulnerabilità [1] è nota da prima del Luglio 2020, ma praticamente "sconosciuta" a chi crea pacchetti PyPI; nella issue [1] ci sono anche alcuni link a casi concreti osservati, in particolare "la madre di tutte le prove": https://www.bleepingcomputer.com/news/security/researcher-hacks-over-35-tec… «Researcher hacks over 35 tech firms in novel supply chain attack» (Febbraio 2021) --8<---------------cut here---------------start------------->8--- Using this technique, Birsan executed a successful supply chain attack against Microsoft, Apple, PayPal, Shopify, Netflix, Tesla, Yelp, and Uber simply by publishing public packages using the same name as the company's internal ones. [...] Knowing that his scripts would be making connections from corporate networks, Birsan decided to use DNS to exfiltrate the data to bypass detection. --8<---------------cut here---------------end--------------->8--- Quindi il fenomeno **non** è limitato a PyPI ed è talmente diffuso (e **pericoloso**) che ha un suo nome: **dependency confusion** (aka depencency hell). Quello che mi rattrista tantissimo è che distribuzioni come Debian et al [2] è da **molti** anni che lavorano per creare un ambiente di distribuzione del software (package manager e repository del software) sicuro [3] e /contemporaneamente/ aperto all'ingresso di svariati contributori... poi sono arrivati 'sti fenomeni e hanno agito come se quegli "ecosistemi software" ben progettati fossero una palla al piede, perché nella distribuzione del software bisogna essere agili e scattanti, /futuristi/ mi verrebbe da dire: che menata la sicurezza, eh?!? :-O Morale della favola: non usate PyPI, npm, RubyGems o simili per installare il vostro software, usare una distribuzione **seria**, fatevi un favore ;-) Saluti, 380° [1] https://github.com/pypa/pip/issues/8606 [2] e più di recente Nix e Guix [3] e "magari" pure riproducibile e boostrappable, sto infierendo? -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Jan. 19, 2023