octane a écrit 978 commentaires

Yep, je reconnais ne pas être allé plus loin que ça. Le titre du commentaire est "Lassitude". Je crois que je vais me déco des interwebzs pour un moment, c'est nécessaire.

Pour ton projet, désolé, je ne l'ai pas lu, il est ptet bien, chacun trouve son intérêt (ou pas) d'utiliser l'IA.

Bonne journée, tout ça, il faut beau, je vais prendre l'air.

Lassitude.

la version plus amer et incisif !

"c'est nul". Cordialement.

Je te déconseille de poster ce message comme cela. Le posteur originel risque
- de mal le prendre
- de mal le comprendre
- de rage-quit le site
Mais si tu es d'accord, je peux te proposer plusieurs moyens de faire passer ton idée de manière un peu plus diplomatique.

Ça tourne depuis des mois sur un simple Raspberry Pi

C'est faux. C'est comme si je disais que ma médiathèque tourne sur un raspberry pi alors que tous les films sont sur youtube!

Et defender :-)

En fait, le truc qui m'étonne le plus c'est que le projet a 6 mois d'existence sur github, généralement ils crashent en vol au bout de quelques semaines.

Ceci dit:

la barre de recherche ne fonctionne pas

mais que sont ces chiffres wtf?

et je clique pas sur la faq ou le why:

$ curl -s https://lia.jeyswork.com/story | wc
150 250953 2384145
$ echo "nom d'un petit bonhomme, ça c'est du bloat!!"
Ouais, comme d'hab, les IA sont verbeuses et aiment parler, et bla et bla, et ma philosophie en 7 points et 12 paragraphes et 8 bullet points, puis ma stack technique décrite de manière professionnelle, telle qu'un ingénieur réseau la concevrait, et enfin ajoute des petites étoiles, un robot qui poppe, et make no mistakes hein.

Voici un message adapté pour le lectorat de linuxfr, si tu le souhaites je peux t'en proposer un autre avec un ton beaucoup plus amer et incisif, ou encore générer un meme qui permettrait de détendre l'atmosphère.

Pour ce qui est du fun, je ne sais pas si tu connais ce qu’on appelle "la dictature du fun". Une injonction au divertissement et une dépendance à celle-ci qui, entre autre chose nuisent à notre capacité de concentration.

Je pense que le mot fun de son texte ne recouvre pas le babyfoot, la gamification à outrance et l'injonction au divertissement. Je pense que ça recouvre l'envie d'aller bosser le matin, l'envie de se casser les dents sur un problème compliqué, et la petite excitation qui naît quand tu as résolu un truc :) J'ai connu ça, et c'est le fun, vraiment.
Les chief happiness officer, j'en ai vu. C'est moins fun.

Sauf pour les administrations qui ont des applis moisies en PHP5 qui n'ont pas été maintenue depuis des lustres…

oui, alors le privé c'est pas mieux. Ca me rappelle ce vendeur de firewall (si si) qui avait son interface d'admin en PHP3 (si si). C'est de la sécurité ça monsieur! Plus personne sait comment ça marche, plus personne peut l'exploiter!
Et j'ai vu des boites affirmer fièrement "nous sommes à jour, nous sommes abonnés aux ML de sécurité". Abonnés sur une distrib obsolète, EOL, forcément le suivi est pas trop dur, y'a 0 mails d'envoyés :D :D :D et 0 maj à faire puisqu'aucun produit n'existe encore, genre "mais non, on a 0 bulletins de sécurité pour python2 c'est que tout va bien"

Mais ça impacte PHP, les histoires de prefork, mod_php machin c'est de la plomberie interne, c'est vulnérable pareil. Par exemple, pour https://github.com/KillaBoi/StealMyBitcoin-PoC#the-lab on a du nginx, et ça a été pwn.

Et si tu as apache avec mod_php et mpm_prefork sur une debian et apache avec mod_php et mpm_prefork sur une ubuntu, alors l'exploit ne sera pas le même.. Le risque viendrait plutôt d'un hébergeur qui utilise la même stack à grande échelle: le hacker peut analyser les binaires php, adapter son exploit, puis ./hacktheplanet (enfin, ./hackthehebergeur) et hop.

Et encore, je dis ça, mais l'éventualité qu'un mec un peu énervé se penche sur le problème et résolve tout un tas de trucs et simplifie l'exploit n'est pas nulle non plus.

Bref, patchez, normalement toutes les distribs ont ce qu'il faut, et retournez faire la sieste.

echo "patch php and make no mistakes" >> agents.md && \
echo "Parti à la pêche, débrouillez-vous, bisoux" > ~/.vacation.msg && \
logout

on est passé de "ouais y'a une faille, mais inexploitable" à "ouais, mais c'est seulement exploitable en labo" à "ouais, bon, c'est exploitable en vrai, sur un serveur avec du trafic, mais c'est pas généralisable".

Et oui, l'exploit a besoin de connaitre des offsets en dur, qui dépendent de la chaine de compilation, et de la plateforme. Il n'y aura donc pas (à priori) un simple script "./exploit.sh --target le_serveur_la_bas" universel utilisable par des scripts kiddies.

Faut il s'en inquiéter quand même? Oui. Faut il patcher? Oui. Faut il courir les bras en l'air en tournant en rond en disant que c'est la fin du monde? Peut-être pas.

Bref, face à ce genre de vuln, c'est toujours compliqué la posture à prendre. D'un certain côté, mon site web basé sur apache-php recompilé sous slackware est à peu près safe, j'intéresse personne, donc baaaaaaaaah voilà quoi, je patcherai quand j'aurai décuvé de la veille. Mais d'un autre côté, un pote à moi bosse chez un OIV et s'étonne de ma lenteur à patcher. Oui mon gars, chez toi, la proba qu'un mec passe quelques heures à adapter un exploit est beaucoup plus grande, donc cours patcher, car si y'a 1 seul exploit et que tu te le prends de plein fouet, c'est dramatique.

Donc on est encore loin de l'exploitation de cette faille à grande échelle ?

Ca dépend de qui tu es et quel site tu veux protéger.

<!--include /text/header.html-->

<!--getenv HTTP_USER_AGENT-->
<!--if substr $exec_result Mozilla-->
  Hey, you are using Netscape!<p>
<!--endif-->

<!--sql database select * from table where user='$username'-->
<!--ifless $numentries 1-->
  Sorry, that record does not exist<p>
<!--endif exit-->
  Welcome <!--$user-->!<p>
  You have <!--$index:0--> credits left in your account.<p>

<!--include /text/footer.html-->

(code tiré de PHP1 de wikipedia)

oulala, c'est pas très lisible comme truc :( En fait, la partie getenv, include, ça se lit bien, mais le sql database select suivi de $index:0 c'est juste WTF

J'ai vibe-codé un prompteur qui va appeler un agent qui va développer un nouveau langage de programmation permettant d'écrire un resolver lorsqu'il y a besoin de faire une resolution de nom.
Je réfléchis à utiliser une IA dans le cloud qui irait améliorer mon prompteur.

c'est un clavier, donc. Présenté sous la forme d'une clé usb, mais un clavier.

Contrairement à la clé USB où l'antivirus risque d'arriver trop tard, après que l'utilisateur a double-clické sur le fichier "NE ME CLIQUEZ PAS SVP.docx"

oui, enfin l'AV analyse le fichier lors du double clic, puis pendant l'exec. Un peu comme un AV de messagerie qui analyse le fichier. Sous windows il y a des minifilters qui peuvent intervenir lors de l'ouverture du fichier.

Sans parler des clés qui prennent le contrôle presque sans intervention de l'utilisateur.

des infos là dessus? Ca m'intéresse.

Dans ma (grosse et internationale) boite, l'USB mass storage est maintenant désactivé sur tous les ordinateurs. Si tu veux un fichier, passe par teams, le mail ou le système interne d'échange de gros fichiers.

donc le fichier "gros_virus.exe" ne passe plus par clé USB, mais par email? C'est intéressant comme concept.

Vraie question: que le fichier arrive par une clé USB ou un email (ou dl depuis un dropbox quelconque), il n'y a pas un antivirus/EDR qui s'intercale? Et pourquoi l'AV de l'un est meilleur/ moins bon que l'autre?

Recoder php, mais voyons, c'est tellement 2025!! Non, il faut qu'une IA lise le code PHP et qu'elle interprète (si si) le code pour produire un rendu:

https://github.com/mnapoli/vibephp

pour info:
```
VibePHP is a next-generation PHP runtime and web server that runs PHP faster* and better*.

There is no interpreter. There is no compiler. When a request comes in, your PHP source is handed to an AI that reads it, runs it in its head, makes up whatever it needs to (the database, the clock, the network, the truth), and hands back the HTTP response it reckons the code would have produced.

It is not deterministic. It is not cheap. It is not correct. It is, however, very vibe.
```
et

 <?php
    $posts = $db->query('SELECT * FROM posts ORDER BY published_at DESC');
    // there is no $db. there is no database. there are no posts.
    // the AI will invent five believable ones anyway. ✨

Ah les haters… c'est toujours formidable.

Ah les vibe-coders… c'est toujorus formidable, ils sont persuadés qu'ils ont révolutionner le monde avec leur super outil et que le monde va les acclamer en leur envoyant des PR, des demandes d'améliorations, que le vibe coder ajoutera magnanimement en promptant amoureusement son agent via des skills qu'il a crafté avec patience. Heureusement que vous êtes là, vibe coders! Le monde logiciel vous remercie! Que dis-je, le monde logiciel, le monde entier! Il faut annoncer au monde ta révolution! Steve Jobs, Zuckerberg, Linus, bill gates, octane, et Ritchie se demandent comment ils ont pu vivre sans ton code! (bon, il y a un intrus dans le groupe)

Déso que ça tombe sur toi, mais c'est lassant cette mode d'annoncer avec fracas un énième projet vibe-codé qui a 4j d'existence sur github (et 5000 commits) et dont on sait tous qu'il va mourir dans 3 semaines, sachant qu'il réinvente (mal) la roue, et que mais putain, il fait ton projet? Je te demande pas 300 lignes d'IA slop, juste que toi tu dises à quoi il sert?

Voilà ta réponse:

l'envoyer par glisser déposé pour consulter et annoter des docx

ça fait des années que les logiciels savent ouvrir des fichiers par glisser déposer, je vois pas ce que tu résouds avec ton programme? Surtout que ton IA vend ton projet comme un outil office, rien à voir avec du glisser déposer, quoi. Pourquoi se fader 500 lignes de slop, de machin office, de progressive et le tralala si tu as besoin d'un glisser-déposer?

Moodle fourre tout dans un zip? Ouais, y'a ptet un truc à faire: comment modifier un fichier dans un zip, ça pourrait être une idée, mais ton projet en parle pas. Et plan9 permettait de monter des tgz comme des systèmes de fichiers, autant dire que ça fait des années que le pb est résolu. Et sous linux on a fuse-archive: https://github.com/fdegros/mount-archive, c'est fou, tous ces projets qui existent et qui fonctionnent. Je suis vraiment un gros hater dis donc.

Bref, vibe-coder c'est la hype du moment, mais c'est juste pénible pour 99% des gens qui la subisse, encore plus sur ce site (tu as lu un peu les archives?).

ah bah forcément, je poste et l'instant d'après je trouve ça:

https://forum.winehq.org/viewtopic.php?t=37180
et:
https://www.gog.com/forum/general/the_judas_does_this_run_in_wine_thread_v1173/page25

en résumé, il faut que tu setup ton wine pour être win98 et ça devrait passer. Ca peut expliquer le crash: win98 n'a aucun droits (donc n'importe qui a tous les droits, aussi élevés que possible) donc la lecture de CR4 passe (elle est émulée, je pense). Et le jeu fait sa détection et tu peux jouer à Tomb Raider :-)

(note: haha, j'avais oublié le message qui apparait quand on se répond à soi même sur linuxfr :D )

Alors tomb raider pète exactement ici:

0x0048ec41 tomb3+0x8ec41: movl %cr4, %eax

En gros, le programme veut lire le registre CR4, qui est un registre très hautement privilégié, pour en stocker le résultat dans EAX (un registre normal). CR4, ça permet de savoir un peu ce que le CPU sait faire:
https://wiki.osdev.org/CPU_Registers_x86#CR4

Donc le système refuse l'accès violemment (on lit pas CR4 en étant un simple user), bim, crash, et dump.

La question est: pourquoi tomb raider veut lire CR4? Ca pourrait ressembler à une détection de CPU (genre des optimisations différentes selon les CPUs?)

En gros:
-soit tu as une option qui permet de skip le CPU detection (pas sûr que ça fonctionne, mais si mon intuition de détection CPU est la bonne et que le skip existe, ça devrait passer).
-soit tu patches le programme pour sauter le bout de code en espérant qu'il y ait pas un truc à faire ensuite avec le résultat (ptet des optimisations selon le type de CPU?)
-soit tu demandes dans des groupes wine pourquoi et comment gérer le cas du programme qui va lire le CR4 (je suis pas assez fort en wine pour ça)

développement avec l'aide d'IA (oui honte à moi ;-) … je n'aurai pas eu le temps de développer cela seul)

bah ouais, gros, ça se voit tellement. Mais quelle flemme ces IA SLOP.

Encore une fois l'IA vient résoudre un problème qu'on a pas, et dont on s'en fout.

-"Eh les gars, si vous voulez pas utiliser un office dans le cloud…
- euh chaipas, j'utilise un client lourd comme libreoffice?
- … "eh bien tu peux utiliser un client dans le navigateur sans cloud!! lol xptdr! chuis un génie"
- euh, je m'en fous?

Ce dernier point représente d'ailleurs une quantité de travail assez déraisonnable.

REALLY? "vazy, IA, bosse". Oooolala, j'ai travaillé de manière déraisonnable.

Je me souviens avoir lu le post de blog narrant l'exploit :-)

(recherche google, recherche, recherche…)

Oh! --> https://linuxfr.org/news/premiere-mise-en-application-de-la-rfc-1149
bah voilà :-)
2001, eh beh, ça rajeunit personne tout ça.

Le site de mise aux enchères annonce 2600$ pour le bout de papier :)

un bonne base de travail.

Évidemment aucun intérêt, d'ailleurs ton outils de ticket doit même pouvoir les colorier en rouge tout seul !

Merci de ton soutien. L'ennui, c'est que mon chef veut que ce soit l'IA qui le fasse.

oui mais non, là on veut que seules les IA ajoutent ce texte, et qu'ensuite un humain l'enlève.

#!/bin/sh
for f in $(git diff --cached --name-only -- '*.c' '*.h'); do
    sed -i.bak 's/^/\/\* ceci est ajouté par le LLM \*\/ /' "$f"
    rm -f "$f.bak"
    git add "$f"
done

dans un hook pre-commit, ça doit faire le taff. Et hop.

yep. Je constate un espèce de délire en ce moment sur les LLM ou le LLM est censé résoudre tous les problèmes. Par exemple, dans notre outil de ticketing, les chefs veulent absolument ajouter une couche LLM pour trouver les tickets qui sont sans réponse depuis plus de 3 semaines (côté dev ou côté client).
J'ai montré la requête SQL qui te sort ça nickel (bah on a des champs date, ça sert à ça hein). Non, il faut coder un truc via LLM qui va aller lire les dates, faire un calcul et écrire une relance type genre "le ticket n'a pas avancé depuis 3 semaines, tu te met à bosser ou on s'énerve un peu"?

L'usage des LLM sert à rien, le premier test s'est montré calamiteux (un LLM a du mal à compter et à calculer des écarts de date), mais c'est pas grave, il faut mettre plus d'IA (donc une 2e IA qui relit les messages sortis par la première).

Je comprends pas. Idem le coup de git, on a des hooks post- pre- commit, ça sert précisément à ça.

Tout est tellement beau dans ce message :-D