V tomto diele Joinit prechádza kopou technologických noviniek: Andrej Karpathy opúšťa Eureka Labs a nastupuje do Anthropicu, bezpečnostný model Mythos prešiel auditom knižnice curl s prekvapivými výsledkami a Google uvádza sériu nových Gemini modelov vrátane multimodálneho Omni, ktorý má podľa Googlu priblížiť cestu k AGI. Meta medzitým sleduje pohyby myši svojich zamestnancov pod interným názvom Agent Transformation Accelerator, čo vyvoláva obavy z nahradenia pracovníkov agentmi. Epizódu uzatvára technické vysvetlenie Apple MIE – synchronnej ochrany pamäte implementovanej priamo v kremíku – a živá debata o tom, ktorý operačný systém je najbezpečnejší pre bežných používateľov, vývojárov aj servery.
Zobraziť prepis
drunkez
Join IT online.
join3r
Vitajte milí poslucháči. Počkaj, však už nahrávam.
kubista
Dobre, počkaj teraz, tri, štyri.
join3r
Jak keby sme to vystrieli, ne? Jak keby. Eh, dobre, vitajte milí poslucháči, sme tu opäť s Joinitom a je tu samozrejme kubista aj, snažím sa to prečítať, eh, drunkez, drunkez a ja som join3r.
kubista
Čau.
join3r
Čaute. Dobre, poďme rýchlo na to, lebo kopa newsov. Kde je, že by ste mali niečo, že teraz musím toto povedať.
kubista
Akože ja som mal taký topic, ale keď už si taký akože namotivovaný, tak ako idú-
join3r
Tvoje topiky, čo furt máš a furt to akože nikdy-
kubista
A furt ich nepoviem.
drunkez
A taký, a taký spokojný po tom, že ah, dobrý topic som mal, vieš. A dobrý topic.
kubista
Tak som si pokecal teda, no.
join3r
Žiadne otázky. Dobre som to vysvetlil. Eh, v každom prípade, eh, máme dokument, doňho si zapíš, vieš, tému, hej, si to tam daj.
kubista
A kde je tento dokument, keď tak sa môžem opýtať?
join3r
Na Discorde bol pastnutý.
drunkez
Poďme to rozoberať teraz do podcastu.
join3r
Dobre, poďme na newsky, lebo máme toho akože fakt veľa. Takže ohľadom minulého podcastu sa, sa ozval osiris aj Smile, a to konkrétne keď sme sa bavili o WhatsApp a ten private AI, čo vlastne chcú akože spustiť. Tak osiris mal takú zaujímavú teóriu, ktorá sa mi veľmi páčila, lebo bola anti-Meta a hovoril, že, že, že to inkognito mód by mohol byť niečo aj také, že, že keď napríklad AI nejakým spôsobom povzbudzuje k samovražde, ako sme videli z nejakých akože historických súdov a tak ďalej, tak že či to nemusí, nemôže byť niečo také, že potom Meta nebude mať logy o tom, hej, že niekoho nabádal ku samovražde. Takže tým pádom je to ako keby obrana pre nich, hej. To mi prišlo také zaujímavé. A potom ešte Smile písal také niečo, že, že, že napríklad využitie tam bude akože celkom veľké, že napríklad Joiner si zapne inkognito a začne zisťovať možnosti nasadenia Temple OS namiesto Kubernetes a výsledkom bude to, že v chatoch AI si nebude myslieť, že chce prejsť na macOS a Temple OS only, hej. To znamená, že to bude iba mimo memory. Obe sú, obe sú akože celkom dobré nápady. Myslím, že, že, čo som sa akože snažil zistiť, tak logy z týchto WhatsApp private AI chatov ostávajú na devici, hej. To znamená, že tam to stále akože ostáva pre, pre súd prístupné. Takže toto asi nie je, ale akože nevylučujem, že aj to môže byť nejaká, nejaký nápad tam od Mety. A nakoniec, úplne nakoniec sme prišli na to, že to AI nikto nepoužíva. Sme sa opýtali, že máte to tam niekto alebo čo, používa to niekto? Nikto nevedel nik. Takže nikto nepoužíva Meta AI. Tak to vyzerá.
kubista
A tak možno nejaký ad-ad-advert, nejakí ma-marketéri možno to používajú.
join3r
Úprimne akože neviem. Úprimne neviem, nepoznám naozaj nikoho.
kubista
Ani ja akože nepoznám, ale nevadí.
join3r
Dobre. Ďalšia správka. Karpaty odišiel z Eureka Labs a nastúpil do Antropicu. To je, to je celkom akože nová správa. Na Discorde sa to objavilo štyrikrát. Teda zatiaľ trikrát, ale ja ešte akože plánujem hneď po n-nahrávaní podcastu tam dať štvrtýkrát, lebo ľudia, ľudia nečítali asi, asi kanál celkom, ale to pastovali za sebou trikrát, tak už je z toho meme, tak to tam pastnem aj ja ešte aby, aby sa nám to nezabudlo.
kubista
A prečo, prečo išiel do občianskeho združenia pracovať?
join3r
Do Antropicu išiel, však to neni občianske združenie.
kubista
To je občianske združenie.
join3r
Antropic?
kubista
Antropic je občianske združenie. To neni, že-
join3r
Toto na Slovensku máme nejaký Antropic nebo čo? Lebo nerozumiem.
kubista
Nie, akože to je neziskovka, to je nejaké také jak je foundation to je alebo dáčo, vieš.
drunkez
Nie.
join3r
Antropic nie, to si myli s Open AI, nie či, hej?
kubista
No počkaj, teraz toto vieš čo? Toto je presne také, že teraz sú podľa mňa poslucháči sú takí hahaha, ďalšia zrada a oni nevedia, čo ako. Oni budú teraz vieš ako všetci googliť. Nechajme to otvorené podľa mňa, oni tam...
join3r
Dobre.
kubista
Poď ďalej.
join3r
Takže toto je veľká vec, hlavne kvôli tomu, že kto je Karpaty. Je to taká celebrita, by som povedal. Myslím si, že on aj vymyslel ten term vibe coding. Ale musím povedať, že ja som vibe kodoval ešte predtým, ako sa to volalo vibe kodovanie. A teraz ako sa to má volať, kubista?
kubista
Agentic engineering.
join3r
Agentic engineering? Fíha.
kubista
No však, akože je to tvoj agent, akože už inžinieruje.
join3r
Mhm, mhm.
kubista
Teraz som tento akože fact checker tu.
join3r
Nie, nie, ale tak minule si hovoril, že vibe coding, že to je škaredé slovo.
kubista
To sa, to sa, toto bolo tak lepšie za tie štyri, dajme tomu.
join3r
Mhm.
kubista
Aby som povedal, že tak mo-možno, možno v polke dvadsaťpäť už také akože to je akože, to už nehovor, hej, to je zákaz.
join3r
Mhm. No okej, no okej, budem sa snažiť. Takže ešte raz Agentic engineering?
kubista
Engineering, engineering. Akože agent to, a-a-ako by to bolo po slovensky?
drunkez
No normálne, akože toto by sme nemali úplne po slovensky hovoriť, lebo to začne politické veci vyťahovať. Chápeš, akože vieš, to sme mali hrubu agentov pred ôsmdesiatym deviatym. Boh, aj teraz sú tu, chápeš, dajakí, že to, to je úplne na tému. Vieš, to je-
join3r
Aj toto neťahaj, toto ne-neťahaj.
drunkez
To je proste nejaká, vieš, a-a-a-agentic engineering môže byť, že proste fakt, že je nejaký tábor, malé deti sú tam proste odmala a sa stavajú proste, že ako vieš, že, že ako proste donášať a nedonášať, ako proste hľadať a špicľovať alebo niečo také. Tak si to predstav, dobrá kniha by to bola taká utopistická.
join3r
Aspoň vidíme ako zatiaľ si menej-
kubista
No dobre si, dobre si, počkaj, že vibe kodilo sa vtedy, keď si išiel ešte na chat GPT, tam si mu dal asi copy pasteoval, ako som to ja ešte robil nedávno, hej.
join3r
Nie, nie, v žiadnom prípade toto nie. Ja som vibe kodoval cez, cez, cez kurzor myslím ešte vtedy.
kubista
A tak okej, no, no, okej. To by som povedal, že to je, že agentic by som možno teoreticky povedal.
drunkez
Vieš čo, vibe coding, ja som napríklad vibe kodingoval ešte dávno pred AIčkom, pretože ten môj kód to bolo-
join3r
To bolo čisto bolo postitové, akože že-
drunkez
Presne to, normálne.Že, že, že ke- akože to v prvej rade ten môj nejaký taký helper by tam bežal a on odhadoval, že v čom to vlastne píšem. Chápeš, nie? Neraz to bolo akože kombinácia jazykov. Chápeš, vieš alebo niečo. Vieš, hmmm, ty vole. Crash, hej, segmentation fault. Viete čo? Len akože také nemohol som si to nejde googliť. Anthropic je registrovaná ako korporácia s verejnoprospešným účelom, že Public Benefit Corporation, BBC to ani neviem to, toto, či sa teraz akože to hľadám. Znamená, že aj keď ide o súkromnú firmu orientovaný akože, že jasné, že máš zisk a môžeš generovať zisk, tak štatút ju zaväzuje tento zisk používať s pozitívnym a bezpečným prínosom pre spoločnosť. Troška sa smejem, lebo to je také normálne, že keď si dáš proste na auto margarétku, tak v tom momente proste už omnoho menej, omnoho menej akože robíš CO2 pollution alebo čokoľvek iné. Vieš, proste máš margarétku.
kubista
A tak to potom každá firma môže byť takáto public good alebo niečo?
drunkez
Neviem, je to, je to zaujímavé, ale ja som, ja som mal proste v hlave, že tam bol nejaký problém, že prečo oni nejak, oni mali nejakú inú formu a tým pádom aj s Pentagonom to nejak nešlo. Len sa tak akože vy-vyčlenili proti tomu, že my nebudeme toto robiť. To bolo pár mesiacov dozadu, keď, keď sa, keď, keď sa aj nahneval Mister Orange na nich, že, že úúú, že toto vám akože toto vás dá dolu, toto ste urobili strašnú chybu, lebo a tak shiftol potom nejak z OpenAI alebo s kým išli do toho. A odvtedy som si pamätal, že oni nie sú úplne bežná, akože komerčná spoločnosť.
kubista
A to neni aj OpenAI?
drunkez
Ja neviem, možno ani OpenAI nie je, ale toto neviem.
kubista
Open a to je neziskovka je OpenAI sa mi zdá, nie?
join3r
Už to tam nejak všeliak šlamastikovali. Akože viem, že to bol zo začiatku problém, hej, keď ešte vlastne Microsoft ich dotoval a teraz neviem, že v akom je to stave, ale-
kubista
No myslím si, akože OpenAI a tam je ešte tá materská spoločnosť, neviem, ako sa volá a ona, že už neni. Myslím, že tá neziskovka. Neviem, ale akože už, akože už asi nie sú neziskovka už dlho.
drunkez
Oni sú veľmi, veľmi dlho, veľmi dlho nie sú v zisku, tak
join3r
To je pravda, oni sú stále neziskovka.
drunkez
Sú vlastne neziskovka, aj keby chceli byť ziskovka, ale so far sa im teda nedarí sa úplne.
join3r
No tak takých firiem je potom veľa, čo je akože takýto neziskoviek. Ďalšia správy-správička je, minule sme to rozprávali o Mythose a rozprávali sme takisto o tvorcovi Curlu Danielovi Sternbergovi a Sternberg sa dostal nejakým spôsobom ku Mythosovi. Teda nie že on sa dostal, ale niekto, koho, koho on pozná. Myslím, že to bolo spádlo auto, ale nechcem akože veľmi trepať. Tak urobil, vieš, akože scan toho celého curl call basu a Mythos vrátil päť confirmed vulnerability po pri-po review security tímom toho samotného curlu, tri už boli zdokumentované obmedzenia, nie security nejaké, nejaké flows. Jeden bol iba bug a jedna bola reálna zra-zraniteľnosť slow severity. Hej, to znamená, že not great, not, not terrible. Hej, ale nie je to akože niečo také teda, že oj, to všade hackne a tak a tak ďalej.
drunkez
Dobre, ale zober si, že to je také, že ako má Mythos vedieť, že to už je zdokumentované obmedzenia. Či to boli tak zdokumentované, že mal o tom vedieť? To je strašne vágnie popísané. Vieš, že oni už mali to akože odreportované. Teraz nedávno to isté Linus hovoril, že, že Linus, aby sme povedali Linus je ten správca, hlavný šéf linuxového jadra, teda Linuxu as is a tiež, že zaplnený majú mailing list security kadejakými reportami a že polovica je z duplikovaných a tak ďalej a respektíve akože duplicít. Vyslovene sa tiež akože tak nie úplne dobre vyjadroval na tú tému, ale podľa mňa to je, sme sa minule rozprávali, to len lepší tooling urobiť proste nejaké také, aby to AIčko chápalo a ono to príde. Dobre, sme v adopčnej fáze, je to proste nová vec, to sa zlepší, to je dobre.
join3r
Akože nechcem v žiadnom prípade hovoriť, že Mythos je čisto len marketing, hej, ale je to taký mix, hej. Je to samozrejme za tým aj marketing a je to samozrejme aj, aj lepší model, ktorý vie reťaziť tie, tie exploity napríklad. Ale akože pointa je v tom, že, že niekedy som vlastne počul v nejakom YouTube videu, konkrétne som počul, že oj, že koniec sveta, lebo Mythos AGI a nájde to všade diery, hej. Ale realita je taká, že kód nemusí mať diery. Vieš, akože je nejaké konečné stadium, stadium, hej, kde ten kód môže byť secure, hej, for all intents and purposes, hej.
drunkez
Jasné, jasné.
kubista
Každý kód môže mať akože má diery podľa mňa.
join3r
Áno, re-reálne má, hej, reálne má.
drunkez
Ja, môj kód je známym príkladom, hej, že každý kód môže mať teda diery. Áno, ale fakt je, že každý kód môže byť aj akože bugless eventually, vieš a ultimately proste-
kubista
No tak keď máš akože urobíš, že int x equals AD, tak to je akože-
drunkez
Nie aj komplexný, chápeš, vieš.
join3r
No a aby som, aby som reagoval na tie, na tie tri zdokumentované akože obmedzenia, tak to sú normálne akože zdokumane-zdokumentované obmedzenia v tej API dokumentácii a to sú akože nejaké shortcomings, hej? On, on, on to akože poznamenáva a nie vyložene akože nejaké security vady, hej. Takže reálne, akože podľa toho, čo akože to, čo ten Sternberg akože písal, tak je tam vlastne ten Mythos našiel jeden bug.
drunkez
Mhm. Počúvaj, ináč čo vieme o Mythose viacej? Lebo včera sme sa rozprávali o tých veľkých modeloch, ktoré sú v tréningoch. Fakt, že triliónové, trilión parametrové, hej. Tréning myslíme, hej, o tréningu, že mixture of experts bla bla bla a tak ďalej. A teraz akože, že teleport a strelil, že to je akože Mythos class. Mythos je takýto akože? Že Mythos je, lebo okrem toho, že má veľmi vysoké, veľmi teda široké kontext window a rôzne iné veci, ktoré ho robia lepším, tak sme sa bavili o tom, že on je potrénovaný na, na akože security model je to v princípe hej alebo špecificky nejakým spôsobom trénovaný na security.
join3r
To si nie som celkom istý, či je to naozaj tak.
drunkez
Áno? To som mal len akože v hlave? Okej, okej, lebo prekvapila ma tá, tá jeho akože parametrizácia, že on je taký. Akože je to prototyp týchto veľkých modelov, ktoré sú trénované. Čiže všetci hráči veľkí majúMajú tento, toto v pipeline? Nevieme o tom dačo?
join3r
Akože neviem, neviem, že koľko, akože Antropic je taký celkom uzavretý, hej, čo sa týka samozrejme tej architektúry modelov, hej, akože minule na Artificial Intelligence Discorde sme mali vyložene-
drunkez
Zvadu.
join3r
Ne-ne-nenazval by som to zvadou, ale, ale povedzme normálne hádka, hej, pľuvance lietali, hej, nadávky a tak ďalej.
drunkez
Bežný deň proste.
join3r
Osobné útoky. No taký, taký normálny akože deň na Discorde. A, é, sú akože ľudia napríklad, ktorí si myslia, že, é, že momentálne Opus 46 je, je prakticky dense model, hej.
drunkez
Mhm.
join3r
To znamená, že je to síce mixture of experts, hej, alebo niečo podobné, ale že je to, že je to tak veľké, že for all intents and purposes sa to môže brať ako dense model. On, nakoľko je to pravda, ťažko povedať. Ja sa skôr prikláňam tiež ku tomu druhému názoru, že to je jednoducho moje, ale to len ukazuje, že, že aké sú vlastne uzatvorené tieto akože informácie, že sa nedostanú nejak na svetlo sveta.
drunkez
Mhm.
join3r
A ja si myslím, že, že taký najlepší odhad toho, že čo robia, akože čo robí napríklad taký Antropic, je vyložene sa pozrieť na čínske modely, pretože ja si myslím, že oni tieto dáta majú, že oni jednoducho vedia, é, veci o tej infraštruktúre a architektúre toho, tých, tých modelov a o vyložene o Mythos, é, Mythose sa hovorí tuším, že je, že neviem, nie-niečo jak 10 T, hej, model.
drunkez
Mhm, mhm.
join3r
Niečo fakt-
drunkez
To by bolo akože extrémne veľké. Len to je ináč dobrá pletka. Myslíš, že to majú zo špionáže alebo to destilujú, alebo how?
join3r
Z destilácie to nebudú mať určite, ale keď sa napríklad pozrieš na, na Čínu, ktorá má akože celkom historicky také, é, tú, tú špionáž, hej, nejakú takýmto spôsobom vyriešené a tým to nemyslím akože vyložene, ja neviem, že tam nejak špehujú, že tam majú nejaké kamery alebo neviem čo. Skôr je to niečo také. Hej, pracuješ v Antropicu?
drunkez
No jasné.
join3r
Hybaj sem, hybaj sem tuná do Číny pracovať, hej a jasné, že máš podpísané NDA a tak ďalej, ale už si tu, už ideš navrhovať veci, že čo jak by sa mohlo spraviť a tak ďalej.
drunkez
Keď už si tu, už aj tak odtiaľto nepôjdeš preč, tak čo je problém?
join3r
Máš tu teplé miestečko. Však my veľa nepotrebujeme, hej, my potrebujeme vedieť-
drunkez
Ale už, už, už je-
join3r
Parametre, sa ist nejakú architektúru.
drunkez
Už je nejaký gossip, že kedy bude možno Mythos akože available pre-
join3r
Akože vôbec nič som nezachytil. Ak niečo je, tak som akože vôbec nič, nič-
drunkez
Že možno neviem ja kon-koncom roka alebo-
join3r
Nie, neviem ani ja, nič som nepočul. Je to taký, je to, je to každopádne taký, á, taký-
drunkez
Zapeklitý model.
join3r
Nie je zapeklitý, ale skôr je to taký ten, má to veľký marketingový potenciál for sure, vieš. Hej, tak by som povedal. Má to, je to jednoducho niečo, čo je, je to tu, vieme o tom, rozpráva sa o tom, zároveň to nedostupné. Je to také vieš ako-
drunkez
A počkaj, akože, akože mne teraz napadlo, kámo, že ten, keď ten model má akože desať tých triliónov parametrov, to čo všetko, akože, akože to už ja neviem, koľko môže mať, čo všetko tam akože dali do tých, do tých dát? To musia, musia byť aj nejaké syntetické, nie, dáta alebo-
join3r
É, dáta vyložene nemusí. Vieš, veľkosť, veľkosť modela, modelu nemusí mať veľa spoločného s veľkosťou, akože tých, tých dát, na ktorom bol trénovaný. Existuje, že overtraining a takéto veci, hej, na, na nejaké dáta, hej, takže je tam niečo také, že keď máš, é, že keď máš príliš malý model, tak ho vieš pretrénovať, hej, čo je ako keby zlé. Ale akože m-myslím si, že už veľmi dlho sa používajú syntetické dáta na, na, na tréning vyložene. Či už je to, či už je to destilácia, hej, to sa určite akože tiež, tiež akože robí. To sú tiež syntetické dáta, hej, lebo ty ideš do AI sa ho niečo opýtaš, vráti sa ti niečo a svojím spôsobom je to čisto akože syntetika, hej. Nie je tam nič ľudské.
drunkez
Potom teoreticky to môže byť, é, aj model, čo má sto triliónov parametrov?
join3r
Teoreticky hej, akože áno.
drunkez
Ale, ale vieš, to sú nielen-
join3r
Hardvéry tam.
drunkez
Naozaj to nie sú len dáta, to sú akože prepoje medzi jednotlivými, to sú váhy, to sú proste vieš, akože to je, to je, to je, predstav si to ako atribúty. Ty môžeš mať v princípe jedny dáta, jeden, jedno, normálne môžeš mať že zemiak a keď ho otest-, akože dáš mu trilión parametrov, tak máš v princípe triliónový model. Akože strašne dumb to vysvetľujem, ale je to tak, hej, že ty, ty, ty to nie je, že, že akože vieš, že chápeš, čo chcem povedať, nie? Je to x-
Je to, je to jednoducho, je to parametr, akože ten, ten, nie parameter-
join3r
A ty si môžeš vlastne vyvíjlať, akože čo o tom zemiaku, akože skúmať, že výšku, dĺžku, váhu, neviem, farbu, hej? Poznáš neurónové siete?
drunkez
Jasné, že poznám. Však o tom bola moja bakalárka.
join3r
No tak potom.
drunkez
Tak si doma.
join3r
Si doma, hej. Ono akože-
drunkez
Ale akože-
join3r
Ten, ten, ten transformer je, je len typ neurónovej siete, hej. Nie je to akože nič, nič nejakým spôsobom špeciálne. Je to trošku iné, akože iná architektúra, ale je to stále len ako keby stále to patrí do tých neurónových sietí, hej.
drunkez
Okej, tak to bude celkom zá-zá-záhubu potom.
join3r
Dobre. É, ďalšia témička by bola, že alebo ďalšia správa, ďalší news je, že Meta zaviedla mouse tracking. É, zamestnanci protestujú a samozrejme, v tom kontexte je celkom pekné, že OpenAI plánuje nejaké masívne, é, masívne prepúšťanie. Možnože už to prepúšťanie aj vlastne prebehlo, hej, v momente, keď už počúvate tento podcast.
drunkez
Nie je to, mne ešte ma napadlo, keď som si to čítal prvýkrát, akože i-instantne ma napadlo, že toto je predsa easy to poison. Chápeš? Nie?
join3r
Á, to mňa zase instantne nenapadlo. To je zaujímavé. Áno.
drunkez
Že, že to je strašne dummy vec, že, že toto nie je deterministická vec.
join3r
Mhm.
drunkez
Dvadsaťpäťriadkový skript ti to musí tam tak rozhodiť, akože ak toto má byť nejaké kritérium, že, ale, ale pravdepodobne to je len akože nejaký ďalšia, ja som si tak predstavil, že dobre, to je len nejaká ďalšia vec do, do ako keby matice toho, akým spôsobom korporáty môžu, môžu sledovať a snažiť sa automatizovať, ale viem, že tak ten, ten, ten zber proste dát o tom, ako, akým spôsobom ľudia klikajú alebo píšu alebo neviem čo, tak už lenKlinec do rakvičky, ale.
join3r
Ono, akože Meta hovorila samozrejme, že to je kvôli tomu, aby sa, aby sa, aby zbierali tréningové dáta. Hej, akože zamestnanci Meta sa, sa báli toho, aby to jednoducho nebolo používané ten, ten tracking samotný na nejaké hodnotenie alebo také. Myslím, že, že potom aj niečo bola taká správička, že, že manažéri nemajú ku tomu prístup a neviem čo akože bolo-
drunkez
Isté.
join3r
Nejaká interno externá akože správička bola. Ja tomu celkom aj verím, lebo však tie, tie dáta budú veľmi asi, ehm, vieš, na to, aby si ich mohol dať nejakému manažérovi, aby z toho niečo mal, tak by potrebovali akože poriadne prečesať samozrejme hej a tak ďalej. Aj keď možno, že keď nejaký zamestnanec chodí na YouTube päť hodín. Síce nie, lebo YouTube môže tiež v pozadí pozerať. Vieš, môže pozerať YouTube relevantné ku jeho práci, takže to akože toto si celkom viem aj predstaviť, ale veľmi, veľmi veľa ľudí má jednoducho myslím, že celkom správny pocit, že prvý krok je zbieraj dáta o tom, ako pracujem. Druhý je trénuj agenta, čo robí za mňa a trojka je prepusti ma, hej?
drunkez
Hej, ale- Vieš čo? To je také vlny sú. No prepáč, poď.
kubista
Nie, nie, akože mňa napadlo, že akože ak zbieraš dáta len o tej myške, tak akože ku tomu je celkom relevantné aj monitor. Čo vlastne klikaš, lebo akože klikať vieš, to môže mať teraz tu, či nie? Či sa len zle pozerám.
join3r
Však to je, to je keylogger, to je mouse logger. Hej, to loguje akože kompletne všetko, čo robíš na tom, na tom počítači, hej? Hej, to sú pohyby myšky, kliky, stlačenia klávesov.
drunkez
Ale to sú také vlny. To fakt to je také, že vidno, že, že, že nie je ucelený pohľad na to, akým spôsobom firmy k tomuto pristupujú, respektíve to môže a môže to byť aj v závislosti od toho, že v akej oblasti robia alebo tak. Pretože boli vlny, že proste hej, že poďme povyhadzovať všetkých, už to bude robiť všetko potom, že human in the loop je dôležitý aj kľudne aj juniorské pozície. To sme tiež rozoberali, že proste IBM a nejaké veľké korporáty zase rehirovali juniorov, lebo, lebo prečo nie? Asi to bolo treba, hej? Zároveň neustále vidíš Amazon proste vyhadzuje jak šialený. Hej, oni proste tam ako pre mňa napríklad Amazon je jeden z takých veľkých hráčov, ktorý, ktorý fakt sú bítelný tým, že vyhadzujú. Nepovedia nikdy, že to je kvôli AIčku, ale zároveň väčšina tých, ktorí boli prepustení, tak hovoria, že áno, boli sme nahradení proste nejaký security tím. Ja som nedávno také video. Človek, ktorý vyrábal, ktorý bol v tíme v globálnom Amazone a, a, ako keby bol členom tímu, ktorý sa staral alebo vyvíjal framework na, ehm, ako keby udržanie agentov v security v nejakých rámcoch. Čiže akože vyslovene to bolo o security. Jeho hlavný cieľ bol akože security agentik AI engineering, či ako sme to agentik engineering, hej? Tak bol vyhodený. Okej, to je celkom dôležitá vec, nie? Však to tam máme a nie, nie, to je celkom akože reduce workflows bla bla bla, ale tam k tomu bol vyhodený celý tím. Hmm, hej, niekoľko desiatok ľudí, tak je to minimálne sus, hej, že čo si, však to hej? A potom zároveň oni videli predtým, ako sa nejak akože rozširuje to portfólio proste toolov a tokenov a všetkého možného. Však tak je to také zvláštne.
join3r
Mhm.
drunkez
No tak teraz do toho táto Meta, ale tak to naozaj môže byť tým, že čo robí, že ten ich industry akože záber je troška inde, takže nejako ľahšie je to vyvíjať veci nejaké alebo udržiavať. Však oni majú len Instagram, nič viacej.
join3r
Určite, určite.
Ináč ten ich, ten ich interný názov alebo interný kód, hej, akože pre toto-
drunkez
Ten zber?
join3r
Pre tento zber, hej?
drunkez
No.
join3r
Leaked, nie akože nie je mi celkom jasné, či je to akože oficiálne alebo tak, ale je to ATA a to je, že Agent Transformation Accelerator, hej?
drunkez
Mhm.
join3r
Je to, je to vyložene akože ten názov ti hovorí o tom, že asi to je to, že snažíme sa nahradiť akože týchto zamestnancov.
drunkez
Hej, hej.
join3r
A ešte zaujímavý kontext pre EÚ. V EÚ takéto tu niečo nie je možné, hej? Takže toto platí tuším iba pre, pre nejaké iné štáty, hej, ale pre zamestnancov Meta v Európe toto, aby sa toto vlastne mohlo robiť, tak to musí tam nejaká, nejaká pracovná rada to odsúhlasiť alebo také hej, takže tuná je to celkom akože nepriechodné v Európe.
kubista
To predtým, ako začne robiť, tak musíš akože acceptovať do cookies a budeme ťa trackovať.
drunkez
Niečo také, hej?
join3r
Nie, nie, tuná, tuná to reálne akože nebudú ani dávať podľa mňa kvôli tomu, že tam nejaká pracovná rada by mala zasadnúť a musela by povedať, že áno, chceme to. A to si predstavujem, že to je celkom akože nerealistické. Ďalšia správa je vydaný nový model. Volá sa Gemini 3.1 Flash a je to nový model vlastne od Googlu, ktorý vlastne v tej svojej flash verzii má byť podľa benchmarkov lepší, ako je jeho pro verzia. To znamená, že lepší ako Gemini 3.1 Pro. Zajímavé je asi na tom asi akurát tak to, že ak je, že je celkom akože dobrý v tých benchmarkoch, ale to vieme, že tie benchmarky sú jedna vec a realita často býva druhá, ale cena je trikrát drahší ako 3.1 Flash a v skutočnosti je, je ešte drahší kvôli tomu, že strašne veľa akože tokenov, strašne veľa vieš, akože rozmýšľa, uvažuje, hej? A napríklad hovorili, že oj, že rýchly, neviem, hovorili, že tristo tokenov za sekundu alebo niečo také. Hej, že celkom akože v pohode rýchly model, no lenže keď ti to generuje strašne, akože strašné kvantum tých tokenov, tak je jedno, že, že, že ako rýchlo ich generuje. Vieš, že keď ich generuje tak strašne veľa. Myslím, že tam majú aj nejakých desať miliónov kontext alebo niečo také, akože bláznovstvo, bláznovstvo hej, alebo to pripravujú.
drunkez
No tak ale tým pádom si zober, že aký to je akože money pooling pre, pre nich. Vieš, že rýchlo, vieš, tokeny páliš rýchlo, až keď ich páliš veľa. Však to je super pre Google.
join3r
Hej, len, len táto metrika akože tokeny per second. Celkom sa mi páči, akože nie je to žiadny štandard ani nič také, nič také, že sa neexistujú, ale hovorí sa často, že, že tokens per task hej alebo time per task hej? A to sú vyložene akože veci, ktoré možno že budú viacej smerodatné v budúcnosti, ak sa nejaký takýto štandard vytvorí alebo niečo také, kde-
drunkez
Áno, lebo to je racionalizácia vlastne. Ty môžeš blabotať o nejakej veci do, do neviem term TT chápeš? Vieš a proste áno. Hej, spáliš päťdesiat tisíc tokenov, to znamená, že si čo?
join3r
Že si múdry alebo že si neefektívny. Naoka, naopak presne, že si proste blbý, lebo musíš sa zo seba rozpačiť. Však to je ako veľakrát vidíš to, ja to vidím veľakrát, že proste keď je nejaký thinking, thinking zapnutý a vidím tam, jak ten premýšľa a že začne kvákať d-d-d-d-dus, spálil dvetisíc tokenov a potom že wait, badaj, vieš a proste niečo také, že počkaj, ale ja som dačo iné som toto myslel. Tak, tak Ancia šlo tak akože premýšľaj, nie?
Ja sa na to-
drunkez
Tie čínske modely, tie čínske modely boli také alebo ja si pamätám, že ešte DeepSeek to on tam rozmýšľal ten-
join3r
Sám proti sebe, vieš.
drunkez
Hej, hej. No že hej, wait, wait, wait! Potom zase išiel na taký killings pri desaťminútový.
join3r
No celý tento, ja celkom akože nerád mám, akože sa to volá thinking. Ja mám rád, že ten chain of thought, hej, ale tam je tiež akože tá myšlienka. Á, okej, že, že-
drunkez
Ty máš rád, že not thinking.
join3r
Lebo, lebo to nie je v skutočnosti rozmýšľanie. Vieš, ľudia si predstav- ľudia si hovoria, že to je, že to je rozmýšľanie. Vieš, je to generovanie kontextu naokolo, hej? To je podľa mňa nejaké lepšie. Alebo, alebo ten COT je podľa mňa akože taký najlepší popis. No, ale v každom prípade, zvlášť ako to bolo robené vyložene tak, že sa tam bol vkladaný akože ten token. But wait! Alebo že, vieš, akože takýto tu, takýto token sa akože vyložene do toho chain of thought vložil, hej, aby ako keby ten model začal rozmýšľať nad tým aj na nejakou inou, i-i-iným štýlom, hej? A, a to je takéto tu akože takéto tu, é, inserty mi stále prídu také barbarské. Ja to napríklad vidím na GPT akože modeloch od š- od päť trojky hádam, keď používajú ľudia Codex alebo tak, tak tam vidia veľmi často, keď si akože pozrú logy, alebo keď si to lepšie pozrú, že nebudem si vymýšľať, ale checknem to. A toto veľmi často akože používa, vieš, akože nejaké takéto slovné spojenie. Takže to je tiež nejaký token, ktorý sa tam insertuje, hej, ktorý tam je cez nejaký hook zatlačený, že jednoducho, že hej, musíš to checknúť. Každých, každých dva a pol tisíc tokenov tam proste re-rethink. Hej a-
drunkez
A toto mi pripadá stále, že to je taký, že to je taká barlička, hej, že keď niečo takéto tu musíš robiť, ale a-a akože ono to funguje, hej, takže-
join3r
Hej.
drunkez
Asi proti tým výsledkom sa asi nedá namietať len-
join3r
Vieš čo, ak, ak skočím ti troška do toho, lebo keď hovoríme o Googli, ja mám pocit, že Google má taký veľa, taký, taký mal dobrý mesiac alebo týždeň, lebo vyšiel aj, povedali, že vyšiel aj Gemini Spark, čo je vlastne ich OpenCL dá sa povedať alebo nejaký CL. Je to ich akože ich asistent. Hovoria, že to je proste nad Gemini alebo vedľa Gemini bude bežať tento Spark a bude dvadsaťštyri sedem tvoj kamoš. Bude to bežať, keď aj vypneš všetko a proste je to v tvojom Gemini sandboxe alebo neviem, hej, v tvojom priestore a je to vlastne CL ich.
drunkez
A už, už sme, už sme našli nejaký use case na OpenCL?
join3r
Je veľa, je to, to sme už prebrali. Tých, tých CL je veľa. Presne máš, môžeš si nechať organizovať, môžeš si proste objednávať proste potraviny, môžeš čokoľvek. Proste čím väčší skill má, samozrejme, tým lepšie, hej. Keď potrebuješ barbera, tak si proste objednáš barbera v Bratislave. Povieš mu to, napíšeš mu to do WhatsAppu a on ti to vykomunikuje, keď bude chcieť alebo ti fakt proste objedná na konkrétny-
drunkez
Ale používa to akože reálne e-ešte niekto? Lebo akože-
join3r
Veľmi veľa ľudí to používa naozaj. Vieš akože-
drunkez
Ale akože som myslel na, na Discorde.
join3r
Nie.
drunkez
No.
join3r
Ne-neviem, že akože, že, že komunikácia. Viem, že komunikácia môže byť samozrejme cez tú ich Gemini ja, Gemini app a potom aj myslím, že pre, pre, pre Gmail. On MCPéčko zatiaľ napríklad nie je na to, hej a, a ten agent beží vyložene tam v ich nejakej VM-ke, hej. To znamená, že no že akože nepotrebuješ mať žiadny akože server, hej, čo v prípade napríklad nejakého OpenCL alebo tak buď už si rezervuješ nejaký server, hej, alebo, alebo si, si to niekde u seba be-bežíš, hej, tak to na to majú vlastne vyriešené cez VM-ku. Asi predpokladám, že tak je v Google Cloude, hej.
drunkez
Hej, hej, hej a v tomto kontexte presne vyšiel ten, ten, to jeho znamenie, é, včera či dneska, či kedy, že proste Gemini sa takisto mení ich spoplatenie, že, že, é, v princípe kopírujú Cloud s tým, že, že vo výsledku budeš mať redukovaný prístup k tokenom a čo naznačuje tým, že ako sa portfólio rozrastá, tak sa tak jednoducho compute power nie je nekonečný, tak ho musia samozrejme zdražiť, aby sa vylúčila, aby sa vylúčila taká tá nezmyselnosť použitia. Povedzme si tak, hej, že hurá, poďme testovať do zbláznenia všetci všetko, é, tam. É, takže Google vlastne toto isté robí a tento Spark do toho zapadá. Majú nový model, vieš, ktorý potrebuje compute takýmto spôsobom. Čiže, že, že ten biznis, t-ten produkt placement by som povedal, alebo to, to nastavenie presne toho produktovej rady celej, to úplne vidíš, ako sa to fakt mení z mesiaca na mesiac.
join3r
Ešte k tomu Gemini tri a pol Flash som chcel povedať, že je to drahšie ako Haiku, ale podľa mňa, podľa toho čítania, podľa tých akože grafov, čo som ja videl, podľa mňa je to drahšie ako Sonnet s tým, že koľko tokenov to vygeneruje, hej?
drunkez
Že v konečnom dôsledku zaplatíš viac.
join3r
Áno. Hej a to už je potom také na, na uváženie, hej a, a Google vyložene hovorí o tomto ako o agentic modeli, hej, to znamená, že aj na coding a takéto tu veci. Tak ale samozrejme ešte, ešte je príliš skoro na to, aby sme povedali, že čo na to ľudia reálne hovoria. Hej, myslím, že nikto z nás to reálne napríklad nepoužíva, é, ten ich Antigravity a, a dokonca vydali ešte Antigravity CLI. To znamená, že Gemini CLI ide dopreč, hej? A Gemini, Gemini CLI bolo open source a ten Antigravity CLI už nie je open source, takže je to také trošku uzatvorené zo strany Googlu.
drunkez
Hej, ale bacha na to, lebo vyšlo aj Antigravity dva nula. V rámci toho ich fakt, že refreshu celej ich nejakého portfólia a zmeny, takže vyšlo dva nula. Netestovali sme, ale je to proste nová enhanced hurá. Vieš, takže možno presne v tomto kontexte vyšiel aj ten-- Google má veľmi dlhú históriu announcenúť produkty a potom ich do pol roka zrušiť. Hej, to vieme, to, to je rok do konca. Hej, to, to je jasné. Takže to, že kým sa to zastabilizuje, to, to je bežná vec. Však oni mali preboha živého hádam päť toolov, hej? Notebook mali, studio mali.
join3r
Majú, hej.
drunkez
Ešte stále to. Takže vieš, to je tak.
join3r
Dobre a ešte posledná vec aspoň odo mňa, akože čo sa týka news je Gemini Omni. Prišlo mi to zaujímavé hlavne kvôli tomu, že toto je model, ktorý akceptuje všetko. Image, video, text, hej? Z nejakých benchmarkov, akože momentálne to nie je celkom akože enableované, hej, že napríklad video to nechce zožrať a tak ďalej. Takže všetko je to akože early days, aleČo na tom bolo akože zaujímavé bolo, že, že, že Google vlastne akože podľa toho, čo tam hovorili, tak si myslia, že toto je cesta ku AGI vlastne hej? A to je pochopenie vlastne sveta, vieš už aj cez video, hej, akože simulácia sveta vyložene myslím, že o tom hovorili. Hej, že keď budeš nasimulovať svet, že keď hodíš, vieš od toho momentu nielenže generovanie textu, ale aj vytvorenie toho, že hej, keď hodím tuná loptu, jak bude skákať tam a tak ďalej, hej, že to, že to akože povedie k pochopeniu sveta, hej? Lebo že AGI musí chápať akože svet, v ktorom žijeme, hej, nielen, nielen ten text. A toto mi prišlo zaujímavé hlavne kvôli tomu, že napríklad OpenAI sa od tohto tu odklonilo, hej? A je to taký rozpor napríklad medzi cestou, ktorú si momentálne akože ide tlačiť Google a ktorú tlačí napríklad OpenAI, lebo OpenAI toto určite tlačila týmto smerom. Hej, boli to tie modely, ktoré boli natívne audio, hej, vnímali, hej, GPT-4o vlastne hej, to bol. Potom bolo vlastne ten ich, ako sa volal ich ten video generátor? To som zabudol. Sora? Chcem povedať, že Sora, hej? Tak momentálne vieš akože tú svoju, tú svoju Soru vlastne akože limitujú napríklad aj v tom, že čo mali tú sociálnu sieť na, na Sora videa, hej, tak to zrušili. A Google, hej, naopak, akože ide týmto smerom, hej? Takže to je celkom bude zaujímavé sledovať, že ktorá cesta ako keby bola lepšia, bude lepšia vlastne, hej?
drunkez
Ale za mňa kudos. Za mňa je to super, lebo senzorika takéhoto spôsobu tým, akože toto je, je blízko toho, ako to my vnímame. Tým pádom to budeš také, bude to okej. Ja som, som rád za toto.
join3r
Z nejakého takého amatérskeho hla-hľadiska, keď sa nad tým zamyslím, akože svojím zdravým dedinským rozumom, keď to tak mám povedať, tak mi to znie lepšie, hej? Ale zase musím povedať, že v OpenAI tiež nie sú nejaké, akože nie je to nejaký startup, hej? Tiež tam majú akože veľmi múdrych ľudí a oni sa od tohto prístupu odklonili a oni týmto prístupom akože išli. Oni boli vlastne prví, ktorí išli týmto, týmto smerom, hej? A to, že sa od toho odklonili, tak buď vedia niečo, čo akože Google nevie, alebo možno, že sa situácia zmenila, hej? Že predtým, keď to, keď to začalo tlačiť OpenAI, tak to ešte cesta nebola. Možno, že teraz vďaka vyššiemu výkonu, vďaka novej architektúram a tak ďalej, tak je to možno že znovu cesta ťažko povedať.
drunkez
Hej.
join3r
Ďalšia správa Mini Shai-hulud. To je, to je z Dune ten akože worm. Stihol si si to niečo pozrieť ohľadom toho, Dušanko?
drunkez
No tak hej, hej, stihol som si pozrieť, že ten, že to je fakt z Duny, to môžem potvrdiť. Ten, ten, ten názov.
join3r
Tak nám viacej porozprávaj o tej Dune.
drunkez
Duna je super. Počúvajte, to je taký príbeh.
Nie, vieš, čo ma napadlo? Dobre, povedzme si to. Je to, je to taká nebezpečná vec, pretože veľa je také módne teraz aj kódiť, aj proste nechať agentov robiť cez GitHub Actions a GitHub Actions je akože veľmi mocná vec, pretože to sú vlastne nejaké automatizovačné alebo nejaké automatizačné, proste definícia nejakých aktivít, ktoré sa dejú, keď sa stane niečo, dá sa povedať, hej? Oprav ma vždycky, keby som úplne nezmysly rozprával. No a tým, že to je raz definované a miliónkrát použité, tak to troška padá z radaru, hej? Keď, keď ten vývoj prebieha tak, že kód máme, kód máme v GitHube alebo v Gite v nejakom, hej a okolo toho je proste taká automatizácia, proste nejaký tooling, sú CCD pipeliny, ktoré, ktoré vždycky je nejaký trigger, čiže commit môže byť trigger alebo akýkoľvek iný, hej a potom sa niečo deje. A to sú tieto actions, ktoré to definujú, čo sa môže udiať. A to oni sú široký záber, hej, takéto niečo. No a tento červ spočíva v tom, že keď, keď je to, aby sa tam je, tam je dôležitá tá, tá cache, hej? Je to cache poisoning alebo teda nie je to cache, cache poisoning. Je to, využíva sa to pri tomto, pri tomto napadaní alebo sa využíva to, že proste keď API pracujú s cache, oni sú nacašované, majú proste nejaké dáta. No a keď, keď, keď sa, keď sa strigérne nejaká proste, keď sa strigérne nejaká akcia, tak CCD pipelina proste je kritický vektor toho celého a je to cache poisoning.
join3r
Je, lebo, lebo v konečnom dôsledku akože je otrávená tá, tá PNP cache, hej?
drunkez
Hej. No a vlastne tento červ spočíva v tom, že pri nejakom, pri nejakom downloade, pri nejakom spustení, pri nejakom rane sa, sa spustí, sa je proste táto cache sa využije, tá sa načíta, tá je otrávená a cez NPM sa proste stiahne nejaký balík, ktorý sa u nás doma natiahne. A keďže tým je otrávený, tak, tak uhrábame proste červíka doma a tento červ už môže robiť, čo sa dá. Obvykle je to nejaký credential stealer alebo neviem, to je konkrétne, čo robí, ale myslím, že tiež sa rozťahuje takým spôsobom, že on hľadá proste nejaké tokeny a hľadá v závislosti od toho, ako je samozrejme nastavený prístup, ako je nastavená permissiony, ako sú nastavené pre tú konkrétnu action. A tam je ten podľa mňa celý problém, keď som si to akože naštudovával, že pre každý token, pre každý access sa nastavuje jeho, jeho, jeho permission, hej, či je read, či je read write a tak ďalej a tak ďalej. A akonáhle sú tie permissiony príliš vysoké, tak to je cesta, ako sa on ďalej šíri, hej? Keď máme dobre nastavený projekt v GitHube a máme dobre nastavené permissiony, tak pridáme tomu execution fázu, tak už je tam, už by tam mohla byť dajme tomu len read, lebo ty potrebuješ len načítať niečo a môžeš jednoducho nemôžeš ďalej pracovať s nejakými ďalšími branchami, respektíve s ďalšími dokonca repozitármi. No a tu je ten problém. Čiže ten mitigation je v princípe jednoduchý. Mať v dobrej kvalite nastavené permissiony, hej, mať zero trust, mať least privi-least privilege pre tokeny. Môžeš expirovať tokeny.krátke, akože aby mali krátke expiračné doby a už nič viac ma nenapadá, ak by sa to, ak by sa to malo-
join3r
Nepoužívať pull request target, hej? To je akože nejaký, takže akože to mi príde akože také, mne to príde ako taká dizajnová chyba akože GitHubu, hej, že niečo takéto tu, nepríde mi to dobre spravené, tak by som povedal.
drunkez
No áno, je to využitie.
kubista
Ja akože tak ja mám akože rád pull requesty, vieš, tak ja sa len tak akože nad tým, nad tým rozmýšľam.
drunkez
Ja tak rozmýšľam, pretože to je tak zabe-zabehnutá vec pre vo vývoji, hej?
join3r
No akože, ale ja nehovorím akože vyložene, že to je problém akože pull requestu, ale je to, je to, je to GitHub dizajnová chyba tých GitHub Actions, hej? Že jednoducho, lebo tam je problém nejaký v nejakom bode jednoducho keď máš nastavené tie GitHub Actions, tak tam môžeš mať celkom nenápadnú vec, ktorá je, že ne- ktorá vyložene používa checkout akciu, hej? A tam máš jednoducho, že GitHub, eh, pull request, hej, jednoducho, že aby si mohol, aby si mohol komenty pridávať do PR-ka, vieš, cez bota a tak ďalej, vieš tagovať to automaticky, hej? Čo si pomyslíš, že to je všetko akože fajn, ale v skutočnosti, hej, odrazu nejakým takýmto spôsobom ti vedia otraviť cache, eh, dostať sa ti ku nejakým tokenom a tak ďalej. Mne to príde ako footgun. Footgun je najlepšie, ako, ako by som to pomenoval. Vieš, robíš niečo, čo si myslíš, že celkom akože nenápadné, čo je celkom akože fajn, hej, a v skutočnosti to má akože celkom ďaleko siahle nejaké security, ehm, dopady, hej? Tak by som to len povedal. A myslím si, že, že, že také systémy ako, ako GitHub Actions a tak ďalej, keď to je z takého to veľký, by sa mali vyložene, akože to považujem za, za chybu, hej, ktorú by mali opraviť, hej? Alebo, eh, alebo nazvať, vieš, akože tú, tu ten samotný, že pull, pull request target, hej, nejakým, ne-ne- tú funkciu samotnú nazvať ináč, hej? Vieš, či už tam napríklad dajú pred tým, že, že dangerously pull request target, hej? Alebo nech pull request target napríklad ide iba z, iba z primárnej-
drunkez
Brancha.
join3r
Primárneho ownera, akože to by bolo nepoužiteľné, ale vieš, akože na to musí, na to si musí akože dávať-
drunkez
Ja mám pocit, že najlepšie, čo môžeš naozaj, lebo to-to veľakrát vidíš, úúú, rýchlo potrebujem spraviť proste bum, bum, bum, nastavím proste tokeny s permištami vysokými a tak ďalej. Ja mám pocit, že toto je len ďalšia vec, ktorá sa zautomatizuje a bude sa auditovať, hej? A okolo toho vznikne nejaký tool alebo už možnože je, hej? Lebo po-- ja si myslím, že problém je v princípe tom, dá sa to veľmi dobre mitigovať práve tým, hej, že ten, ten, že, že keď akože dobre sa aj takéto stane, keď sa spustí nejaká, é, akcia, hej, cez GitHub Actions, tak aby to bolo akože least privilege, aby to proste nemohlo šahať len tak halabalá ďalej, aby to ostalo len v jednej branchi, aby to nemohlo ísť-
kubista
A ne-ne-nefixlo by to, ty si spomínal s tým tokenom, takže by si dal nejaký päťminútový token alebo niečo také, to by-
drunkez
Unikátny token, no a to je-
kubista
Nie?
drunkez
Neviem si predstaviť dosahy takéhoto niečoho.
join3r
Anyway, ehm, dobre, môžeme ísť na, na poslednú správičku a to bude asi už len koment, že Microsoft prerušil dvadsaťtri mesiacov, nie preto, že tej série zero days, ktoré-
drunkez
Combo breaker.
join3r
Každý pondelok akože nejakým spôsobom patchoval nejaký in the wild, akože, ehm, exploitovanú vec a tento mesiac to bolo prvýkrát, že, že bez toho. A ja, ja som videl, že správičky boli skôr toho duchu, že, že, že tento utorok bol prvýkrát bez, bez, bez vlastne zero days od roku dvetisícdvadsaťštyri alebo neviem čo tam bol za, za rok, hej, alebo, ale mne to pripadá, že toto je lep-lepší náz-eh, lepší názor. Vieš, dvadsaťtri mesiacov akože za sebou, hej, nie preto, že tá séria zero days, ktorá bola teraz prelomená.
drunkez
Je to skvelý operačný proste systém.
join3r
A, ehm, celkovo je tam priemer, že šesť exploitovateľných zero days za mesiac v Patch Tuesday, é, za tento rok iba. Hej, je to, je to-
drunkez
Šialené.
join3r
Hej. Ehm, dobre, ešte musím, musím rýchlo vysvetliť, čo je to Apple MIE. Mám na to, mám na to iba pár minút, lebo v minulom podcaste sme to sľúbili. Takže, é, Apple MIE je Memory Integration Enforcement a vlastne nie je to nič iné ako to, že každej časti pamäti sa pridá nejaký, chcem povedať, že to je štvorbitový kľúč alebo niečo také, alebo trojbitový kľúč, ktorý jednoducho otaguje tú ma-memory a označí, že okej, iba, iba proces, ktorý má také isté označenie tej memory, môže pristupovať na túto memory. Ehm, vec, ktorú, pre ktorú by to malo akože chrániť, sú tie všetky, é, memory integrity veci, ktoré poznáme, hej, akože use after, after free, hej, a-a-a takéto tu veci, kde nejaký jednoducho iný proces odrazu pristúpi na nejakú časť pamäte, ktorá patrila inému procesu a tak ďalej, hej? Ehm, čo je tuná, čo je tuná také akože celkom veľké by som povedal pre Apple je vyložene to, že doteraz, akože myslím, že ešte v roku dvetisícdvadsaťdva, é, toto je, je vlastne EMTE, to je od ARMu a to je vlastne akože, že ako by niečo nejaké takéto to tag-tagovanie malo vyzerať, hej? Ale toto tagovanie má ako keby viacero častí a jedna časť je asynchrónna a druhá je synchrónna. Google napríklad, ehm, alebo, ehm, no, no vyložene na pixeloch je to možné a tam to, tam to funguje iba asynchrónne. To znamená, že, že, že to je dobré na debugging a má to performance hit. Hej, ty si to napríklad pri, pri developovaní môžeš zapnúť to EMTE a keď napríklad sa tam stane nejaký, nejaká memory corruption, tak ono ti to akože ten proces to spraví, tú memory corruption a následne akože keď proces, ktorý beží popritom, hej, na nejakom inom vlákne si to všimne, tak potom povie, že ej, stop, hej? Tuná sa stála, stalo niečo, ale tá vec sa už stála, hej. To znamená, že keď útočník stihne tú vec už využiť, hej, predtým je tam nejaká race condition. Ako sa ten proces stopne, tak to, tak to nie je akože zo security hľadiska dostatočné, hej, aby sa to nedalo využiť tieto, tieto, tieto memory, ehm, veci. Takže ono to, ono to funguje dobre na, na debugging a nie je to zapnuté napríklad by default kvôli tomu, že to má jednoducho nejaký performance, é, impact. Hej, kvôli tomu, že musíš jednoducho kontrolovať každý access do memory. Hej, to je brutál.
drunkez
Jo.
join3r
A Apple sa akože Apple tlačil akože na ARM, aby sa niečo takéto spravilo. Hej, tam akože boli celkom veľké nezhody a, a preto vlastne vzniklo niečo, čo, čo, čo Apple ako kebyUmm, urobil to, že implementoval toto EMTE, ale iba synchrónne. To znamená, že pred každým memory accessom sa checkuje niečo, hej? Si predstav, že zakaždým, keď akože procesor si potrebuje sahať do, do memory, tak odrazu, hej, musí checkovať nejak-nejaký tag. A toto keby mal akože robiť, tak si predstav, že každý memory access je vlastne ako keby zdvojnásobená, zdvojnásobený task, hej? To by bolo akože výkonovo, hej, by to určite malo akože zreteľný dopad. A preto akože Apple urobil akože veľkú časť akože toho, toho vyložene kremíku, hej, akože na tom čipe venoval vyložene tomu, aby toto fičalo bez nejakého performance degradation, hej, že to, že to tam má nejakú vlastnú časť, na ktorú sa odbočí a urobí sa to synchrónne predtým, ako prebehne akože tá, ten memory mapping. A o tom, čo sme hovorili naposledy, bolo, že, že nejakým spôsobom sa toto podarilo prelomiť, ale zatiaľ sú akože nejaké šuškandy, že ono to je prelomené, ehm, vlastne cez dvierka, ktoré ešte sú naschvál otvorené a to je, že nejakou korupciou cez dáta. Lebo že pri dátach tam nejako, že ten memory access prebieha nejakým spôsobom ináč ako pri executable časti tej pa-tej, tej pamäte, hej? Umm, a čo akože, že vraj akože v tom Apple akože paperi toto bolo akože aj nejak vytiahnuté a že bolo tam povedané, že ešte stále sú tam akože možnosti cez, cez toto, hej? Teda nie je to niečo, že čo by Apple, o čom by Apple nevedel, hej? Akože Apple to označil, ako že za stále za nejakú riskantnú časť, ale, um-
drunkez
Zvláštny motív každopádne mi uniká troška, že ak, akože ak je to niečo také, že expected, tak to dobre chápem, že dobre, toto je tam niečo, čo je taký, akože neviem, nechcem povedať, že úplne plánovaný, ale fakt, že nejaký expected, že je to možné takýmto niečím, takýmto niečím takúto tú integritu obísť. A Apple o tom vedel, tak hmm.
join3r
Nevedel o tom natoľko, aby, aby jednoducho mal nejaký workable exploit alebo nejakú normálnu cestu, hej? Ale, ale poznamenal, lebo stále keď robíš niečo, hej, tak furt máš nejaké, furt, um, stále máš nejak-nejaké veci, ktoré ti jednoducho ten tvoj proces, tie, tie rizikové časti, vieš, tej celej implementácie, hej? Kto-to je nejaký, nejaký surface level, ktorý, ktorý napríklad je celkom problematický. Napríklad pri pixloch, pixle majú napríklad, é, tiež otagované tie časti memory, ale tie otagované časti memory nie sú secret, é, takže ich vieš vytiahnuť cez rôzne akože spôsoby zistiť, akože ten memory tag, hej? Toto tiež niečo, čo Apple má akože vyriešené, hej, ale je to, je to jedna akože kritická súčasť toho celého, hej, že ti jednoducho nesmie sa dostať ku týmto, ku týmto-
drunkez
Tagom?
join3r
Tagom, hej, ku týmto bitom vyložene. A to je napríklad riešené tak, že, že vyložene táto časť musí byť spravená takým spôsobom, aby tými typickými vecami, ktoré exploitujú, um, specular execution a tak ďalej, aby sa to cez toto nedalo vytiahnuť, hej?
drunkez
Mhm.
join3r
Teda, teda znovu tam je akože nejaký, nejaký, nejaká vec, na ktorú si musíš dať akože veľmi veľký pozor, ktorá môže akože celé toto tu dať, dať dopreč, hej? Um, podľa, podľa všetkého akože celkom som akože, celkom ešte nie sú akože vonku tie, é, kompletne, že ako, ako tento exploit bude, bol spravený. A to sa vlastne dozvieme až potom, keď to vlastne bude patchnuté, hej, akože od Apple a až potom sa akože to dostane tento white paper, é, vonku. A keď sa to stane, tak môžeme si to znovu povedať, že akým spôsobom to cez tie data only exploit bolo urobené.
drunkez
Veľmi zaujímavé.
join3r
Ale je to, le-lebo, lebo že v skutočnosti to neporušuje tie, tie, tie, tie, tie práva prístupu k pamäti, ale, ale zneužije tam ten, ten fakt, že, že obsah pamäte určuje, čo systém dovolí, hej? A keď je to akože označené ako nejaké dáta, hej, tak tam akože takéto tu akože takéto tu security veci tam nie sú až, až v takom leveli robené, hej?
drunkez
A takýto prístup robí len Apple alebo aj, aj, aj možno nejaké, nejaké iné-
join3r
Momentálne toto nemá nikto a podľa všetkého sú, sú konkurencia aj na roky vzdialená od toho, aby niečo takéto tu mala. A je to hlavne kvôli tomu, že koľko, um, že koľko povrchu toho kremíku musíš na niečo takéto tu, um-
drunkez
Minúť.
join3r
Minúť. A vyzerá, že, že ostatní nie sú ochotní minúť ose-- vieš, keď si, é, keď si kráľ performance, tak jednoducho si môžeš povedať, že á, tuná máme tuná ešte nejaké, nejaký priestor, tak to si dáme na security, hej? Keď sa snažíš doho-dohoniť, vieš, akože niekoho, tak tam, tam je to trošku iné.
drunkez
Akože podľa mňa Apple má na, akože tieto M, M, teraz čo bude M5, M6, tak podľa mňa akože tie už sú ultrarychle, tak podľa mňa akože ten, ten dvojitý memory check, akože podľa mňa si to teoreticky môžu dovoliť.
join3r
Nemôžu.
drunkez
Či?
join3r
Nemôžu. Nao-nao-naozaj nie, akože ma, to ma napríklad, ty si si povedal, že, že to sú všetko už rýchle veci, že ja si môžem vypnúť, é, just in time compilation pre JavaScript kvôli security, hej? Ale odrazu si na nejakej JavaScript heavy stránke a zistíš, že okej, že, že táto softwarová optimalizácia tu robí strašne veľa. A každý memory access jednoducho mať akože nejaký, nejaký check, akože ja neviem ani ako to robiť cez nejaký hash table alebo ako to akože porovnávajú však tých memory. Akože neviem si predstaviť celkom, že ako to, ako to naozaj funguje aj na strane hardvéru, aj na strane vyložene toho softwaru, toho malúku, hej, ktorý v konečnom dôsledku tam takto beží. Um, tak ale on to je akože celkom robota navyše.
drunkez
No pre mňa je fascinujúce to, že to je práve to, že to je na hardwareri, že to je kremík, že to je normálne, akože vieš, lebo aj Linux má, nehovorím, že má takúto istú, ale proste dajme tomu Linux, ale určite operačný systém Linux má množstvo, presne toto riešil už desiatky rokov dozadu, aby proste prístup do pamäte bol nejakým spôsobom nepredikovateľný, bol, vieš, tam sú randomizátory, sú proste kdejaké mechanizmy na zamykanie pamäťach a akože vytváraš, ale to je všetko na, na strane firmvéru alebo respektíve v jadre, hej? Kde ty dávaš, é, rámec pre pamäť, hej, a z-z-lockuješ pamäť, sú patche, ktoré to ešte aj akože výrazne to zlepšujú takéto niečo, že prístup do pamäte má naozaj len pa-proces, ktorého bit je, ktorého akože príznak je označený, že ho štart a tak ďalej a tak ďalej. Množstvo, ale
join3r
Podstat- to je úplne šialené pre mňa, že toto je naozaj, é, na kremiku. Mhm. Že oni- V mobilných telefónoch, hej? Oni, oni vyslovene minuli kus wafru na bezpečnosť. Mohli to spraviť na softvéri, bez problémov to mohli spraviť na softvéri. Možno by to bolo pomalšie, možno bla, bla, bla, bla, bla. Možno to robili, možno mo-mo- vieš, mohli to robiť všeobecné výpočtové jednotky, ktoré na tom procesore definitívne sú. Nie. Puk, dvadsať percent, päť percent, ja neviem aký proste veľkú plochu minuli. Čiže akože minuli peniaze alebo výkon, alebo čo ako obetovali na to presne, aby, aby to, é, aby to bolo rýchle a aby to bolo priamo na kremiku. To je, to je fascinujúce. A tak Apple, jakože, jakože secure, tak toto ešte bude double secure, lebo bol, ten softvér bol secure, tak teraz možno bude- Prvé, prvé, prvé, prvé, prvé, prvé, prvé, prvé, prvé, prvé, prvé, prvé. Tak, é, v porovnaní so Windowsom.
Okej, okej. Ako si na tom Dušanko? Koľko máme ešte času? Môžme ešte kvákať takých dvadsať minút. Ja by som navrhoval, že keď už sa tuná bavíme o tomto, tejto bezpečnosti, tak by sme si mohli podebatiť o tom, že ktorý OS je, je, je bezpečnejší, najbezpečnejší. OS dva var. Dobre. Takže minule sme mali nejakú takú debatu. Ja mám veľmi rád akože nejaké také veci, keď jednoducho povieš nejakú kontroverznú vec, ktorá je proti intuícii- Prúdu. -alebo proti nejakej zaužívanej veci. Ale vieš, ale vieš to v argum- vieš to vyargumentovať tak, že, že áno, že niečo na tom je, hej? A mňa to minule napadlo, keď sme sa vlastne akože bavili tam niečo o Linuxe a ja som povedal, že, že mňa na-napadlo, že Linux nie je veľmi tak bezpečný operačný systém, hej? Mhm. A, a potom akože keď som sa o tom chcel akože rozprávať, tak ma napadlo, že, é, že najlepšie bude, é, rozdeliť to na nejaké časti, že pre koho alebo na aké použitie je nejaký systém, é, operačný systém bezpečný. Lebo si myslím, že to použitie, aj tie attack vektory sú, sú omnoho iné pri rôznych použitiach, hej? Tak som to rozdelil na tri, na tri časti, že ktorý je najbezpečnejší operačný systém pre servery. Mhm. Ktorý operačný systém je, hm- Developerov a power userov. Developerov a power userov a ktorý pre bežných ľudí. Ďakujem. Mhm. Takže poďme na to. Začneme, začneme, kým začneme? Servermi? Bežných ľudí. Bežných ľudí? Jasné, bežných ľudí. Ja som, my sme, my sme bežní ľudia a tam, tam sa môžeme o tom rozprávať donekonečna. Chápeš, vieš. A tam ešte musíš spomenúť, že či máš peniaze alebo nemáš peniaze. Nie, nie, nie, teraz bavíme sa o bezpečnosti. Neťahajme do toho financie, hej? Vyložene príďme na to, že, že, že ktorý operačný systém je najlepší, je najbezpečnejší pre bežných ľudí. Dobre, tak ja si myslím, že najprv by sme sa mali porozprávať o tom, že akým spôsobom to budeme vyhodnocovať, či, či to bude akože freestyle čistý. Chápeš, že- Hádka. Podľa mňa hádka. Dobre, čiže klasicky náš metód, klasická naša metóda. Klasická joinit časť. Vy-vyhodnotenia akéhokoľvek problému.
Nie, nie, akože keď, keď máš lepší návrh, kľudne, kľudne sem s ním, hej? É, vieš čo? Lebo, lebo to je presne z akého pohľadu. Ide o to, že, že bežný človek- Mhm. -hm, bežný človek alebo jeho operačný systém alebo bezpečnosť toho človeka, ktorý s nejakým operačným systémom robí- Mhm, mhm. -je určená aj tým, že ako bežný tento človek je. Dobre, začínam to komplikovať veľmi, hej, ale myšlienka je taká, že, že čo chceme od operačného, ako by sme zadefinovali operačný systém, že má, že má bugy alebo že dajme tomu, lebo vieš, budeme mieriť určite k tomu, že ú, počkaj, chceme nejaký little snitch. Chceme nejakú vec, aby nám operačný systém sám od seba kľudne povedal, že toto je niečo nebezpečné. Chceme to, nechceme to? Hej? Rozumieš, čo? Neviem, či mi úplne rozumiete, hej, lebo operačný systém normálne môže byť extrémne jednoduchý. Minix nejaký, hej? Mhm. Alebo bude veľmi bezpečný, ale bude veľmi málo toho vedieť, hej, a bude s nim robiť len nie úplne najbežnejší človek, hej? É, ja by som túto debatu rád limitoval na, na tri operačné systémy Linux, macOS a Windows, ale neťahal to do QNXiek a tak ďalej, hej, pretože tam- To bolo jasné. Jasné, rozumiem. Tam to bude akože, po prvé sú menej používané, hej? Tam veľmi často môže začať byť nejaký taký efekt, že hej, je to naozaj také bezpečné, hej, je to, nie je to obscurity, hej, keď sa do toho oprie AI, nenájde tam nejakú sedemnásťročnú security issue, hej? To len príklad bol tých sedemnásť rokov. Jasné. Tak čo si napríklad myslíš ty, ty Dušan, ktorý OS pre bežných ľudí a bežného ľudia ako bežného človeka nepovažujem nikoho z nás, hej? Ja považujem za bežného človeka tých deväťdesiat deväť percent ľudí, ktorí používajú- Prečo myslíš technického? Myslím, myslím si že, myslím si, že macOS. macOS totižto má vytvorený, é, môj názor je taký, že macOS, é, jakože doručený z, zo security in mind proste, alebo nejak tak by som to povedal, že máš tam veľký control center, proste máš, máš notifikácie, že niečo sa ti snaží šahať, niečo sa snaží niečo používať a ten end user dostáva informáciu o tom, že asi sa má niečo povoliť alebo zakázať a má to nejakým spôsobom na kope. I keď, i keď musím povedať, že, že nie je to jednoduché spraviť to dobre a macOS, macOS neviem, neviem, ako, n-nie je to najlepšie, respektíve nič lepšie možno som nevidel, ale nie je to, že to akože easy to use a pochopiť to, hej? Že tých kategórií v tých nastaveniach je veľa a proste častokrát, keď, keď, keď, keď, keď, é, akože v mojom okolí, keď niekto to má, tak sa ma pýtajú, že preboha toto čo je? Tak si to prečítaj. Ja som si to prečítal, ale neviem, čo to odo mňa chce, hej? Mhm. Ale aspoň to tam je, hej? Čiže mám za to, že dajme tomu v tomto kontexte macOS je, lebo, lebo má, má v tej pipeline použitia toho operačného systému má toto, hej? Že takže myslím si, že macOS je ten, ktorý na to myslí najviac. A druhá vec, macOS ani nepotrebuje, akože dodržiavať tú spätnú kompatibilitu. Takže macOSovské zariadeniaPodľa mňa budú o dosť viac secure. Druhá vec-
drunkez
Môže byť jasné, hej, že aj na strane akože nejakého codebaseu, hej, že tým, že to je ich hardvér, ich operák, oni nemajú problém proste diskontinuiť niečo za tri roky, hej, že nejaká, nejaký starý Macos proste povie, že toto nepodporované, nestarajú sa o to, hej, vybavené. Môže byť tak isto, hej.
join3r
Akože určite sa tu asi všetci zhodneme, že Windows to nebude.
Je to, je to aj kvôli tomu, že, é, že ten počet exploitov, é, v divočine je veľký, hej, ten target je veľký. É, momentálne napríklad, čo veľmi akože beží, je také, že ti napíše, že hej, potrebujeme overiť, že máš osemnásť rokov. É, zatlač, é, Windows tlačítko R a pastni si toto do, do konzoly, hej, áno. Veď vyložene, že, že, že sám sa hackne. Využíva to nejakú neznalosť, by som povedal, že užívateľov, ktorá akože samozrejme je, je v poriadku, hej, je to, tí, tí bežní užívatelia nepotrebujú vedieť, ako po- ako, ako funguje ten operačný systém. Ani by to nemali vedieť. Potom tam sú samozrejme útoky cez e-maily, hej, že klikni tuná na linky a takéto veci a tam si myslím, že tam všetky, ako že tie operačné systémy sú na tom nejakým spôsobom rovnako. Hej, že e-mail, že klikni tuná na niečo, ono sa to tvári ako Google, hej a zadáš si tam svoj password alebo čo, hej a takýmto spôsobom ti uk-ukradnú akože veci. Myslím, že takéto veci sú akože je to nejako narovnako. Možno, že Windows tam má trošku nevýhodu v tom, že, é, že veľmi často bude to targetované na týchto useroch, hej, že keď tam bude napríklad, že over si, že máš, é, že máš osemnásť rokov a zatlačiť Windows tlačítko R a potom tam kopy pastni tento command, tak v Linuxe si stlačíš kopy, Windows tlačítko R a ti to urobí niečo úplne iné, hej, ti akože sa povie, že od, nie je známa skratka a nebude to fungovať, hej. Takže to môže byť nejaká bariéra, akože týchto operačných systémov, ktoré sú menej používané. Ale čo, čo som tam akože ja tak primárne, akože som tak cítil, lebo vieš, môj, môj defaultne, akože tak bez rozmyšlenia by som stále povedal, že secure Linux, jasné, hej, ale mne to príde tak, že, že Linux nechráni tvoje osobné údaje až tak veľmi a to, to myslím osobné údaje v home adresári až tak veľmi ako Apple. A to vysvetlím to nejakým spôsobom takýmto, že keď, že keď napríklad nejaký proces chce pristúpiť, ktorý má práva na všetko, hej, ktorý beží pod tvojím userom a chce pristúpiť do adresára Downloads alebo chce pristúpiť do adresára Photos, tak jednoducho dostaneš nejaký popup, ktorý sa ťa pýta, hej, tento proces chce tam pristúpiť, hej a to už je nejaká bariéra, hej. A je to, je to dosť simple na to, aby si jednoducho pochopil, že počkať, tento, tento program chce čítať moje fotky. Prečo, hej? A je relatívne jednoduché tam kliknúť, že no. Hej, to si, to si myslím, že to je taký akože major benefit, ktorý má macOS oproti, oproti Linuxu. Takže tu sa asi zhodneme na tom, že pre tých koncových používateľov, hej, je ten macOS asi, asi best, čo sa týka nejakej-
drunkez
Hej, je to, je to, je to definitívne niek-- pre mnoho ľudí je to otrava a veľa ľudí nakoniec končí tak, že to proste vyklikáva bez rozmyslu, lebo nerozumie tomu. Vieš, é, rozmýšľam teraz nad tým, že dajme tomu Android ako operačný systém má, má takisto túto, túto, hm, schopnosť a relatívne dobre to má zvládnuté. Myslím, že dokonca ak-- je to síce nefér troška, ale veľmi dobre to má zvládnuté. Tiež máš, že máš nejaký Permission Centers a máš tam aplikáciu. Každú aplikáciu vidíš, že čo môže robiť, či môže šaháť na mikrofón, či môže šaháť na nejaký Ďr, é, nie som si úplne istý, že či tam je nejaká možnosť, že či, či môže prístup. Áno, je tam permission, že či môže čítať fotky, či môže čítať, é, kontakty, dajme tomu, či môže šaháť na nejaké-
join3r
Áno, áno.
drunkez
Čiže je to to, hej, v Android je to, hej, čiže Linux based, ale okej, je to iná vec. Problém Linuxu je v tom, že to je presne, hej, že to je jednoducho, nie je jasné, akým spôsobom by takéto niečo malo fungovať, lebo je to community based, hej. Ak budeme striktní, Linux je jadro, všetko ostatné je user space a to je hexabilión vývojárov, ktorí nejakým spôsobom prispievajú do toho, vytvárajú aplikácie. Je škoda. Súhlasím s tým, že je, je škoda, i keď boli také pokusy, respektíve sú takéto mechanizmy, ktoré, že nie je nejaký jednotný security framework okolo toho celého. Presne tak, hej, že budeš mať nejaký kontext, budeš mať nejaký, é, nejaký airbag alebo nie airbag, ale, é, nejaký fakt, že nejaký kontext proste-
join3r
Selinux a ten-
drunkez
To sú, jasné-
join3r
AppArmor, hej, takéto veci.
drunkez
Áno, áno, ale úprimne, é, AppArmor a Selinux pre end userov externý pain, nemožné. To, to je, toto sú akože vyslovene veci, ktoré si vyžadujú akože, é, experienced nejaký prístup, hej. Čiže nemyslím si vôbec, že toto je niečo. Súhlasím s tým, že, že as is Linux, é, ak niečo už zle spravím a niečo zlé je u mňa už, tak to má relatívne veľké právomoci robiť neplechu a dokonca v kontexte posledných dní, keď, é, mám pocit, že každý týždeň je nejaký akože local privilege escalation, é, exploit. To znamená, že, že bežný užívateľ sa môže povýšiť na superuser užívateľa v Linuxe pomocou takéhoto exploitu, tak je to ešte horšie, hej. É, fakt dlho bol pokoj. Teraz fakt mám posled-posledné dva, mesiac, dva je to také, že, že asi päť ich bolo takýchto local privilege escalations. Takže áno, v tomto kontexte to nie je úplne ňuňu. É, plusom je, že to veľmi ľahko sa mitiguje. Veľmi ľahko sa to mitiguje, veľmi ľahko sa to, é, nejakým spôsobom vyrieši, hej. Takže to je zase dobrá vec na to, hej.
join3r
Ja by som ináč argumentoval, že, že pre bežných ľudí je oveľa menej, é, by som povedal, že vážne, keď sa poruší samotný systém, hej, čo, čo pre Lin-Linux, napríklad si myslím, že aby ti pokazili vyložene systém, hej, to znamená, dostali sa na roota, hej, či už cez local root exploit, lebo to sa ti opečuje, vieš, ten Linux to nebýva akože nejaké, nejaké časté, hej. Tak si predstavím, že je to, je to ťažšie, ale myslím, že pre koncových užívateľov je oveľa dôležitejšie, sú oveľa dôležitejšie tie fotky, oveľa dôležitejšie sú tie kontakty a takéto záležitosti, hej, ktoré sú čisto v tom user space, hej. Niekto, ne-nejaký zarytý Linuxák môže povedať, že dobre sa ti dostali akože ku tvojim veciam, ale však Linux beží v pohode, hej, akože ten root, akože ak systém beží, hej, akože nič sa nestalo.
drunkez
Áno. Je to tak, že, že, že Linux, tá jeho architektúra je spravená tak, že proste má silný, respektíve dosť silný má akože taký ten nejaký, že boundary security alebo dáčo, ale within už je to, už sa tak nerieši veľmi, respektíve vôbec skoro.
join3r
Zatiaľ.
drunkez
Zatiaľ. Hej? Uvidíme, čo z toho ďalej. Ešte ma napadá taká vec, že, že vieš, čo je ešte fajn? É, že Linux User Space je veľmi dobré, tá modularita je plusom. Keď dostávaš, é, akože tiež je to roztrieštené, ale dajme tomu nejaký máš software center, máš nejakú distribúciu-
join3r
Mhm.
drunkez
-a ona periodicky čekuje, či niečo nestojí za to, aby sa updatlo. Či nedostávaš, nedostávaš, é, informáciu o tom, že úúú, teraz prišiel veľký update package, hej? A-
join3r
Mhm.
drunkez
-musíš si celý systém updatnúť a má to päť a pol giga. Hej? To sa bežne, aj to sa deje, ale to je taký ten update funkčnosti, nie security. Ale tým, že Linux je relatívne modulárna záležitosť, tak, é, tak k tebe príde aha, teraz nejaký vývojár opravil nejakú vec a tebe to ten notification center ti to často vyhodí, že okej, updatni si to a ty môžeš denne bežať aj osemkrát nejaký update. Častokrát to ani nemusíš riešiť, je to bez, é, bez rebootu, hej? A toto je napríklad vec, ktorú iné operačné systémy
nemajú takto.
join3r
Hmmm. Windows, Windows updatuje tie, tie, tie patche môžu byť, môžu byť pushnuté, hej? Akože-
drunkez
To, že sú pushnuté, to je jasné.
join3r
-máš ten Patch Tuesday, hej, ktorý potrebuje reštart. Ale, ale vieš, majú tam napríklad ten Microsoft Defender, hej, ktorý veľa vecí napríklad vie, vieš sa, sa oši-
drunkez
Jasné.
join3r
-alebo vo Windows je vyložene cez neho, hej?
drunkez
Hej.
join3r
A, é, macOS má tiež ten svoj, svoj antivírák, hej a potom má ešte ten svoj Gate, Gate, é, mi vypadlo-
drunkez
Gatekeeper, či jak to?
join3r
-no ale, é, ne-ne, keď, čo ti-
drunkez
Gatekeeper.
join3r
-akože čekuje pri každom spustení aplikácie, hej, tú-
drunkez
Stávam sa, že Gatekeeper sa to volá.
join3r
Gatekeeper. Ďakujem. Áno, presne Gatekeeper. Áno. Takže ostatné toto majú, ale myslím si, že, že áno, že toto je, že toto je nejaký benefit alebo je to najviditeľnejšie v tom, v tom Linuxe, hej? A mám pocit, že, že je to aj také najviac, že ostatní akože riešia to, že, že poďme to rýchlo zaplátať pred tým, ako príde naozajstný patch, hej? A v tom Linuxe je také, že príde naozajstný patch.
drunkez
Jasné, jednej lipky osem kilobajtovej, bum, máš to tam updatní, vybené.
join3r
Dobre.
drunkez
Hej, takže to je také fajn.
join3r
Dobre.
drunkez
Na servery, servery.
join3r
Servery ideme ďalšie?
drunkez
Jasné.
join3r
Dobre, tak povedz, povedz kubista, ktorý podľa teba je- -server, é, najbezpečnejší operačný systém.
drunkez
Windows!
join3r
A ja som to vedel.
drunkez
Jasné, jasné.
join3r
Bohužiaľ.
drunkez
Je to tak.
join3r
Bohužiaľ to tak je.
drunkez
No ale viacej sa používa Linux, hej, tak nie?
join3r
Tak myslím si, že akože, že vzhľadom na to, že Azure je plný Linuxu a to je Microsoft, tak už, tak už je to akože-
drunkez
A môže byť, môže byť server macOS alebo iOS alebo Android? Len tak akože-
join3r
iOS a Android sem neťahajme, to by, to by bolo už ako no. É, sústreďme sa. Windows, hej, macOS, Linux. A ja si myslím, že tu sa asi všetci zhodneme, hej, že to nebude treba okolo toho nejakú dlhú debatu. É, Windows-
drunkez
A mňa ešte-
join3r
Samozrejme. Áno?
drunkez
Mňa ešte napadlo, že či náhodou nie je nejaký security, akože sú distribúcie Linuxu niektoré, akože je tam veľ-veľká, akože, é, nie medzera alebo ako, aká-- vieš, čo chcem povedať?
join3r
Veľký rozdiel, myslíš?
drunkez
Veľký rozdiel v security, v distribúciách alebo nie?
join3r
Áno. Niečo bude, ale ja si myslím, že, že aj tak, akože ten Linux by default, asi myslím si, že, že, že tuná jednoznačne vyhrá, čo sa týka serverov, hej. Nejaké remote exploity, hej, akože na Linux to sú, je to málo.
drunkez
Hej, hej.
join3r
Tie servisy sú stavané na to, hej.
drunkez
Treba povedať ale ako poznámka pod čiarou, že tu je ešte Free BSD, respektíve BSD svet a tam dlhodobo je to tak, že, že ten BSD je a pravdepodobne akože minimálne, é, štatisticky na tom ešte lepšie, hej, ako Linux.
join3r
Marek nás nepočúva, nepotrebuješ samu.
drunkez
Okej.
join3r
Ale je to tak.
drunkez
Ale inak sme kecali o tom najviac secure a ktorý je potom number two a number three? Či to už neriešime?
join3r
No akože postupnosť musí byť taká, že Windows je na konci, akože čo sa týka serverov, hej? Či je to už, é, remote exploity, ktoré boli v IESku, ktoré to akože sužovali tak dlho v ADčku, hej, akože to je taká hra jednoducho.
drunkez
Boli hacky, akože teda pardon, hacky boli, boli exploity naozaj, ktoré, ktoré RDPčko akože vyvol-
join3r
Áno.
drunkez
-cez RDPčko sa vylámal normálne, že máš nejaký protokol, ktorý naozaj mal slúžiť na remote desktop pre server, hej, celkom dôležitá vec a deravé jak bungalov, vieš, proste dovidenia.
join3r
Tam, tam, čo akože jedna firma chytila a robila cez na, na RDP bez, bez source kódu, bez hocičoho, iba jednoducho ten, Bože, pomôž mi Dušan, ako sa volá to slovo, že dávajú rôzne vstupy, vieš, brute forcujú.
drunkez
Fuzzing?
join3r
F-fuzzing, hej, cez fuzzing našla toľko akože remote exploitov tou-tont RDPčku, že to bolo brutál, hej. Takže to jednoducho podľa mňa to akože no contest, akože Windows na server ma to je naj, é, najmenej bezpečné. Myslím si, že potom je macOS a myslím si, že kvôli tomu, že macOS je nejaký by default, ale myslím si, že ten Linux akože hlavne čo sa týka nejakej konfigurovateľnosti, či už firewallov, či už security toolov, či už samotných servisov, ktoré všetky máš, hej, si myslím, že Linux tam akože v tomto je taký bez debaty.
drunkez
No, aj dobre.
join3r
A posledné pre developerov a power userov.
drunkez
Ale bezpečnosť teda, hej? Hovoríme stále o bezpečnosti.
join3r
Bezpečnosť.
drunkez
To je to isté. Power user je proste takisto len človek, ktorý je to bežný užívateľ, ktorý používa počítač hlbšie.
join3r
Hlavne nie.
drunkez
Ja si myslím, že macOS je stále bezpečnejšie.
kubista
Ešte, ešte záleží, že aký developer.
join3r
Dobrý.
kubista
By som povedal.
drunkez
Potom kategória veľmi zlých developerov, hej?
kubista
No ale potom treba ešte, ešte ze stack aký máš. To ešte podľa mňa by celkom záležalo.
join3r
Podľa mňa keď si developer a máš nejak po pár rokov za seba, tak ten stack sa môže celkom meniť, hlavne ak si okolo JavaScriptu, TypeScriptu a tak ďalej. Ale, é, ja si to predstavujem tak, že, že, že-Pretože developeri sú, sú iní oproti bežným ľuďom a to hlavne kvôli tomu, že, že, že používajú developerské tooly. Tiahajú si veci z Gitu, é, vieš rôzne libky, akože to ich použitie je oveľa také hlbšie by som povedal. A power usery zase na druhej strane tiež si predstavujem, že tiež robia mnoho takýchto tu vecí. Vieš, rôzne, rôzny kód spúšťajú a tak ďalej. Už to nie je, vieš, akože cesta do po-- ku power userovi nie je to, že zatlač Windows R a spusti si tento skript. Ku nemu je to niečo také, ako že tuná si na pohovore, stiahni si tento kód a, a niečo tam porob, hej a počas kompilácie ti to, ti to ukradne nejaké tokeny, hej? Takže ten, ten, ten, ten vektor útoku je, je, je, je iný, hej?
drunkez
No áno, lebo nepoužívaš, po-- nepoužívaš, hej, že bežný užívateľ používa počítač na maily, na web, možno nejaká easy content, akože consuming proste hej a neviem, videá sa pozerajú a takéto veci. Proste power user má široký application base, nazvime to takto, hej. Používa mnoho kanálov na interakciu s internetom, mnoho protokolov, hej. Čiže ja si myslím, že, že ten macOS zase tu dominuje presne v tom, lebo, lebo, lebo tam tie kontroly, o ktorých sme sa bavili predtým, že pozor, nejaký proces ti chce tadiaľ siahnuť, tuná nejaká vec, ktorá ti chce po-používať, é, tvoj disk a tak ďalej a tak ďalej, tak je, tak sa len enhancne tá, tá potreba takéhoto niečoho, takejto kontrol, hej? A vôbec nehovoríme o tom, že máš možnosť sandboxovať a tak ďalej, hej? Máš proste vieš, že toto Linux má takisto. Máš veľmi dobre vieš dokázať oddeľovať, môžeš proste spawnovať proste nové environmenty a tak ďalej, môžeš akože izolovať a tak ďalej. Tam môžeš to, ale toto nie je o tom alebo to, alebo, hm, nie, je to tiež otázka bezpečnosti. Čiže dobre, tu by som povedal, že, že okej, toto je vec, ktorá, ktorá je bezpečná. Ten toolbo- toolset v Linuxe je dobrý na sandboxovanie. Dobre, kredit pre Linux tým pádom v tomto momente.
kubista
Mňa len akože napadlo, že akože záleží, lebo napríklad ak máš macOS, tak niektoré developerské tooly sú len na Windows a niektoré z nich sa dá nahradiť, niektoré sa nedajú. A macOS možno má zase výhodu, že tie nové čipy M, M, M, M-kové rady majú nejaké preddefinované veci na tom čipe pre AI. Takže to je podľa mňa akože celkom veľký boost. A Linux, ak si Linuxák, tak on to je, aby si mohol flexiť. Keď si dáš nejaký Arch Linux, tak to je-
join3r
Dobre, ale, ale z hľadiska security, hej, akože to, že máš niečo na čip, akože na M5-ke napríklad, hej, sa môžeme baviť o tom, že tento MIE, hej, že to je nejaký akože benefit aj pre, pre power usera, aj pre každého, hej, teda akože čo sa týka security a developerov. Myslím, že pre developerov hlavne, hej, akože keď chce si spúšťať nejaký kód a jednoducho je to zabezpečené proti tým, hm, proti tým memory chybám, hej, tak.
drunkez
Jasné, hej, ale aj runtime normálne bežný. Vieš, akože vieš, keď si developer, tak si akože target, si valuable target, to for sure, hej, to je, to je definitívne, že áno, hej, ale aj, aj, aj bežný, akože si síce power user, ale proste aj, aj runtime už akože nejaký aplikačný je stále dôležitý. Nemusíš stále pracovať s nejakým, akože ešte len vo vývoji kódom. Môžeš, vieš, ty máš fakt, že aplikačný, é, ten, ten base máš, akože naozaj môžeš mať široký, môžeš mať, vieš, zober si len také veci, že koľko je toolov, ktoré, ktoré ti testujú appy. Hej a môžeš použiť veľa takýchto toolov. Používaš obyčajne všetky štyri browzery, ktoré sú, alebo potrebuješ testovať, hej, dajme tomu si nejaký frontend developer, tak máš, hej, čiže to je ten attack vector je pre developera veľmi široký, hej, aplikačne a ten runtime je dôležitý. Teda ak máš fakt browser, ktorý, ktorého môžeš ho mať akože v nejakom sandboxe a zrazu ti chce šahať niekde inde, tak akože je dobré, aby si o tom vedel, že počkaj, toto je vec, ktorú ja nechcem, aby robil a niečo, tak hurá, nejaká extension môže byť jednoducho po-po, akože pokazená a môže začať niečo ťahať, čo nemusí, hej? A tam, tam ten macOS má tie mechanizmy, ktoré sú veľmi dobré, hej, lepšie.
join3r
Dobre, aby sme sa pohli, hej? Trojka je Windows, posledný je Windows pre power userov.
drunkez
No hej, však to je-
join3r
Na tom sa zhodneme, hej?
drunkez
Windows, Windows, nebol, nebol, neni Windows tá tretia, deviatka? Takže tretí tam, tretí tam a tretí tam.
join3r
Jaj, vidíš, áno, je to, vychádza to tak. Dobre a teraz, čo je bezpečnejšie pre, pre developerov a power userov? Je to macOS alebo je to Linux? Lebo tu si myslím, že tuná, akože to-toto je-
drunkez
To je nerozhodné.
join3r
To je reálna tá debata, hej?
drunkez
Ja som, ja mám pocit, že-
kubista
Ja som za Mac, ja som za Mac.
join3r
Ty si, ty si Dušan za čo?
drunkez
Neviem, ja si, ja mám pocit, že keď, keď si dobrý power user, tak si vieš spraviť tak bezpečný a máš ten, ten toolset v Linuxe je celkom dobrý na to, aby si si ty spravil ako power user izolované prostredia veľmi dobre, veľmi ľahko. Hej? Ktoré sú dosť, dosť bezpečné. Čiže ak-- nemusíš sa spoliehať na to, že ti operačný systém bude niečo akože hovoriť, že úúú, tuná niečo, ale ty si to spravíš takým spôsobom ľahko. A otázka je, že ak ľahšie ako v MacOSe, tak vyhráva Linux. Ak nie, tak je to macOS.
join3r
Čo považuješ za takú izoláciu? Bavíme sa tu o nejakých kontajneroch, alebo sa tu bavíme o nejakých vieňkach, alebo o čom?
drunkez
Systém D, tým vieš, môžeš spawnovať proste separ-separátne sandboxy priamo v kerneli.
join3r
Teda C grupy myslíme stále?
drunkez
Napríklad. Vieš, proste máš mnoho mechanizmov, relatívne dosť mechanizmov, ktoré power user dokáže dosť slušne, é, manažovať veľmi jednoducho, dá sa povedať, hej. A sú tie boundaries medzi, akože escape nejakých z dockrov proste dajme tomu, alebo kľudne z nejakých kontajner, é, teda z LXC, LXD kontajnerov.
Neviem vôbec, či také nie, akože vieš, že sú exploits samozrejme občas, ktoré sa rýchlo fixnú, ale máš ten manažment se-- okolo toho, ktorým si vieš naozaj celkom slušne vytvoriť prostredie.
kubista
join3r, ty si chcel utiecť z macOSu, tak ty, ty by si, ty nám povedz.
join3r
Si myslím, že toto je akože veľmi tak na, na debatu a viem sa prikloniť aj ku macOS, viem sa prikloniť aj ku Linuxu a myslím si, že čím si viac pripravený venovať sa tomu operačnému systému naozaj, hej, to znamená, že fakt do hĺbky-
drunkez
Mhm.
join3r
Fakt si to customizovať, tým viacej vyhráva Linux. Pretože ten power, ktorý ty máš, hej, v Linuxe tým, že je otvorený, hej, tým, že to je open source, to ti otvárajú brány, ktoré jednoducho v macOS nemáš. Keď chceš mať bezpečnosť bez takýchto tu vecí, hej, že stále si power user, povedzme, ale nechceš sa až tak strašne venovať tomu systému, tak mám pocit, že tam odrazu dostáva sa na koňa macOS, hej? Môžeme sa tu baviť o nejakých default, môžeme sa tu baviť o nejakých, é-V nejakom toolingu, hej, to čo všetko vieš spraviť.
drunkez
Ale dobre, vieš napríklad presne v Linuxe si vieš za-- keď si v Linuxe a si power user, tak povedzme, že AppArmor je tvoj kamoš a, a AppArmor je dobre nakonfigurovaný už celkom slušnééé, hmm, nechcem povedať sandboxing, ale tiež je to proste vec, ktorá dbá na to, aby procesy siahali len v nejakom tom kontexte-
join3r
Tam, kde majú.
drunkez
Tam, kde majú, aby nechodili proste do iných adresárov a tak ďalej a tak ďalej, hej? A to zase dvíha bezpečnosť aj toho user spaceu.
join3r
Ale realita je taká, že keď si power user alebo developer, tak koľko vecí, ktoré ty akože spúšťaš, majú AppArmor-
drunkez
Kontext.
join3r
Profil. Hej?
drunkez
Profil.
join3r
Vieš, ide, ide, ideš na GitHub a urobíš si-
drunkez
Dobre, ale to nehovoríme o realite. Hovoríme o tom, či máš tú možnosť a keď si power user, či ju využívaš, hej? A tá možnosť tu je a je to len, lebo vieš, vždycky je najslabší článok častokrát alebo veľmi, povedal by som, že s prevážujúcou, pre-prevažne je najslabšou časťou človek. Len zlenivie neurobí to, čo by mal. Hej? A zrazu bum, bas a proste ten. A teraz dobre, teraz prichádza tá možnosť operačného systému alebo teda toho niečo, že aby tie chyby mitigoval alebo akoby zabraňoval im, alebo ťa upozornil alebo dačo také, hej?
join3r
Mhm.
drunkez
Tak vieš, keď presne, keď budem v MacOSe proste odklikávať automaticky všetko, že môže, môže, môže, môže, no tak vybavené zbytočne. Môže byť, operačný systém môže byť vynikajúci so všetkými možnosťami, ktoré má, ale dobre a teraz tú možnosť tam máš, tak myslím si, že pre power userov, ak tú možnosť správne využijú a povedzme, že power useri by mali in theory, tak to môže byť tak, že ten Linux je fajn, je v pohode.
join3r
Tak si tak dáme si, že prvý je Linux a druhý je macOS. Bude súhlasiť aj kubista?
kubista
Ja by som nesúhlasil, lebo zase ešte záleží, že aký si ty power user, hej? Lebo zase oproti mojej mamke ja som power user, vieš, ale zase oproti, á, drunkezovi na Linux, é, ja ako, neviem, ja by som-
drunkez
Je tvoja mamka power user.
kubista
To je, neviem, no ako ja by som bol za Mac, za macOS reálne.
drunkez
Okej, ja, ja som za, akože vieš, to je také, že ja, ja napríklad určite nie som power user na macOS. Nemôžem povedať-
kubista
Akože ani ja nie, hej? Takže-
drunkez
Čo všetko, čo všetko, aké možnosti tam sú. Ja proste, hej, to je pre mňa, ja som na tomto systéme som proste taký akože lepší bežný užívateľ, hej? Lebo mám veľa aplikácií, povedzme hej, ktoré nejakým spôsobom používam, ale to je všetko. É, takže ja by som povedal, že fifty fifty majú veľké možnosti tieto operačné systémy, akože, é, ob-obidva, hmm, by default majú veľa možností, akým spôsobom pracovať bezpečne s tým operačným systémom. Asi tak by som to zakončil za mňa.
kubista
Ale ty si, ty si dobre povedal, že ak sa, ak sa chceš možno do toho rýpať, tak možno akože ten Linux akože by bol možno lepší-
drunkez
No jasné, tam počúvaj, ale to je zase vieš, dakedy bolo také obdobie, že ty si vedel, bol taký, že Trustix, presne že distribúcia, ktorá bola vyslovene, že security ona mala GRsecurity, akože už sa mi zdá, že GRsecurity, to bol taký akože patch set-
join3r
GRsecurity bola paráda.
drunkez
To bol taký patch set pre Linux, ktorým si si patchol, é, jadro, é, a, a to výrazne zdvihlo, zdvihlo bezpečnosť celého, akože kernel spaceu, dokonca aj do user spaceu to išlo, hej? Hmm, ten Trustix chodil, é, od výroby už s proste s množstvom parametrov pre jadro, proste scitilo, aby to, aby to bolo bezpečné proste a tak ďalej, hej? A to bolo vyslovene, to sa dávalo na edge, hej, kde,
kde bol, kde si očakával, že aj keď sa niečo stane, tak aby sa to stalo a aby to, aby, aby tá cesta k úplnému ovládnutiu bola extrémne náročná, hej? Takže tak.
join3r
Dobre, nemusíme sa tu akože rozhadovať, že, nemusíme sa rozhadovať, že kto je prvý a kto je druhý. Hej? My nie sme takí, až takí kontent, že to musíme to akože silou-mocou dať jedno do, na prvú priečku a druhé na druhú. Hej? Keď je to jednoducho narovnako, ale je tam nejaká nuanca, tak prečo nie? A tým pádom, é, pre ten, pre developerov a power userov je oficiálne odpor-odporúčanie z join.it tu, že jedna, jednotka a dvojke sú macOS a Linux, sú na rovnakej priečke, hej, samozrejme s tými nuancami, o ktorých sme hovorili. A na trojke je Windows, samozrejme. Takže všetkých-
drunkez
Ale pekne.
join3r
Stále, stále top 10, hej, akože z týchto výberov.
drunkez
To nie je zlé, vieš, to je fajn.
join3r
Anyway, takže ono to vyšlo nakoniec tak, že vďaka tomu, že sme mali tri kategórie pre servery, pre developerov, power userov a pre bežných ľudí, tak na jednotke, dvojke sa umiestnili s rovnakým počtom bodov Linux aj macOS a na trojke je Windows. Takže myslím si, že, myslím si, že pre mňa by bolo, pre mňa by bolo prekvapivé napríklad pred nejakou, pred nejakým rokom, keby tuná bol macOS len tak z brucha povedať. Keď sa zamyslíš, myslím, že by sme dostali ku, dospeli ku rov-ku rovnakému výsledku, ale myslím si, že by default ten, ten Linux má akože oveľa lepší ten security, nechcem povedať, že почer, ale, é, nejakú, nejaký názor na security okolo Linuxu. É, dobre, musíme už asi končiť, však? Tak ďakujeme poslucháči, uvidíme sa alebo budeme sa počuť opäť o týždeň. Ak Pán Boh dá, tak možno, že už v pondelok môžeme nahrávať, možnože s teleporterom, nie? Uvidíme, či si na to nájdete čas.
drunkez
Držte sa!
join3r
Takže čauko.