rsync 與眾怒 (★
100 分)
rsync(檔案同步工具)維護者 Andrew Tridgell 發文回應近期圍繞 3.4.3 版的爭議。他說,開源軟體套件維護者近來面對大量安全通報,其中不少由人工智慧(AI)工具產生,也有高品質的人工作業分析;為了讓 rsync 能更早發現問題並提升防禦,他開始擴充測試套件、程式碼覆蓋率分析、跨平台 CI(持續整合)測試、安全掃描與縱深防禦(defense-in-depth)加固。Tridgell 表示自己已退休,本想把時間花在航海上,因此使用 Claude、Codex、Gemini 等 AI 工具分擔繁重工作,但否認只是「vibe coding(憑感覺指揮 AI 產出程式碼)」。
他特別說明,將 rsync 測試套件從舊的 shell script 改寫為 Python 是他先完成設計、規劃驗證方式,再讓 AI 工具處理重複性工作;所有部分都由他檢查,並花大量 CI 時間和本機 VM(virtual machine,虛擬機器)測試修正。他也反駁「LLM(大型語言模型,Large Language Model)只是隨機胡說」的批評,認為近幾個月軟體工程與 IT 安全環境已快速改變,LLM 當然需要謹慎使用,但仍是有用工具。至於未使用 pytest(Python 測試框架)的質疑,他表示該框架不適合這次測試套件所需的做法。
Tridgell 承認 3.4.3 確實讓部分有效但少見的使用情境出現回歸問題,主因是該版刻意偏向優先修補安全漏洞,而既有測試與人工測試沒有涵蓋這些情境;他向受影響者致歉,並表示正在處理 GitHub issue(問題回報)和 PR(pull request,程式碼變更請求)。他目前仍在處理多個 CVE(Common Vulnerabilities and Exposures,公開漏洞編號制度),也有具系統開發與安全經驗的新開發者加入。接下來他在評估先推出 3.4.4 緩和回歸問題,或直接推進原本規劃、變動更大的 3.5.0;後者會大幅提高 rsync 的安全門檻,但也需要完整測試套件作為基礎。他也回應有人提議改用 openrsync,稱新版測試套件跑在 openrsync 上目前 98 項中有 85 項失敗,雖然不少是因為 openrsync 沒有對應功能,但仍顯示替代方案並非立刻可補位。
Hacker News 討論的焦點分成兩派:一派認為外界對 AI 輔助開發的憤怒過度放大,尤其已有留言指出,相關回歸問題目前沒有證據可追溯到 AI 參與的 commit(程式碼送交紀錄);也有人分享資深工程師日常使用 AI 輔助寫程式的經驗,認為把使用 AI 本身視為罪過是意識形態式反應。另一派則認為,問題不只是 AI,而是 rsync 這類基礎工具在小版本更新中引入大規模改動並破壞核心功能,使用者不應因為「正在修安全漏洞」或「用了 AI」而降低品質標準;有人提到 absolute path(絕對路徑)、rrsync(受限 rsync 包裝工具)與 daemon(常駐服務)相關問題,質疑是否應採用較大的版號或 beta 測試來降低風險。
討論也延伸到開源維護的現實壓力。部分留言認為,安全通報暴增、AI 協助帶來的開發速度與社群噪音,可能讓供應鏈攻擊者更容易混入,例如讓人聯想到 Jia Tan(XZ Utils 後門事件中使用的身分)一類風險;也有人指出,測試版本很難真正吸引足夠使用者試用,安全修補又不能無限期等待。整體而言,討論並未形成單一結論:多數人肯定 rsync 維護者承擔壓力與補強安全的必要性,但也提醒關鍵基礎軟體在版號管理、測試覆蓋與發佈節奏上,仍必須對使用者維持高度可預期性與可靠度。
👥
18 則討論、評論 💬
https://news.ycombinator.com/item?id=48379478