Зачем нужна безопасная разработка?😄

Стажёр устроился в ByteDance и два месяца саботировал проект по разработке нейросетей

Программист Кейю Тянь устроился стажёром в китайскую компанию ByteDance и на протяжении двух месяцев саботировал проект по разработке нейросетей, умышленно добавляя ошибки в код. Из-за его действий команда из тридцати разработчиков круглосуточно занималась поиском и исправлением багов, которые появлялись в проекте.

Расследование выявило, что Тянь:
🟠Систематически загружал Pickle-файлы с вредоносным скрытым кодом, который содержал вирусы и другие опасные компоненты. Этот код выполнялся автоматически и случайным образом, поэтому команда не могла понять, почему их усилия не приводят к стабилизации проекта;

🟠Получил доступ к библиотеке PyTorch, на которой основывались проекты, и ежедневно вносил в неё мелкие изменения, что приводило к сбоям программ. Разработчики не проверяли исходный код, из-за чего задачи продолжали падать с ошибками и багами, а все эксперименты приносили некорректные результаты;

🟠Устроил хаос с чекпоинтами, файлами, которые сохраняют промежуточные состояния нейросетей во время их обучения. Он изменял параметры моделей, вмешивался в данные обучения или удалял чекпоинты, из-за чего результаты работы команды пропадали и не могли быть восстановлены;

🟠Активно участвовал в рабочих встречах, что позволяло ему оставаться незамеченным. Он посещал каждый митинг, чтобы узнавать о планах команды по исправлению багов, а затем создавал новые. Команда не могла понять, что происходит;

🟠Тяня разоблачили по логам. В ByteDance сообщили, что тридцать разработчиков два месяца работали безрезультатно из-за деструктивных действий одного человека, что привело к срыву сроков проекта и потере средств заказчиков;

🟠После увольнения Тяня из ByteDance его наставники в университете не осудили и не наказали его.

Его борьба

📹YT | 📺RT | 📺VK | 💰Bty
👀@ever_secure

Последний месяц мы с Андреем @not_s0_S3c плотно готовим наш доклад на HighLoad++, посвященный атакам на CICD 👩‍💻.
В этот раз мы ушли от теории и посвятили доклад практике эксплуатации CICD.

Вот вам небольшая затравочка из будущей презентации и увидимся на HighLoad 👀

В ожидании можно ознакомиться с уже вышедшими докладами и вебинарами (сложность по нарастанию):
Базовые принципы гигиены CICD
Безопасность CICD
Импакт OpenSource на CICD
Безопасность CICD в условиях компрометации
Атаки на CICD

📹YT | 📺RT | 📺VK | 💰Bty
👀@ever_secure