Metasploit Wrap-Up 01/17/2025

Post Syndicated from Brendan Watters original https://blog.rapid7.com/2025/01/17/metasploit-wrap-up-01-17-2025/

Clarity in Cleo Exploitation

Metasploit Wrap-Up 01/17/2025

Last Month, Huntress reported that several Cleo products were being attacked in the wild, including Harmony, VLTrader, and LexiCom. Cleo announced CVE-2024-50623 and that these issues were patched in 5.8.0.21, but Huntress reported the vulnerability was still in those patched versions. Cleo later announced a new vulnerability, CVE-2024-55956, and released patches for it as well.
Rapid7 has released a top-level CVE-2024-55956 analysis covering the issues and an in-deth CVE-2024-55956 technical analysis that found the new vulnerability was patched in version 5.8.0.24 of the three affected products. The Metasploit Framework release this week contains a module for the CVE-2024-55956 vulnerability. If you run Cleo Harmony, VLTrader, and LexiCom, please make sure you are updated to version 5.8.0.24 as soon as possible; patches are available from the vendor.

New module content (3)

Pandora FMS authenticated command injection leading to RCE via LDAP using default DB password

Authors: Askar mhaskar and h00die-gr3y [email protected]
Type: Exploit
Pull request: #19738 contributed by h00die-gr3y
Path: linux/http/pandora_fms_auth_rce_cve_2024_11320
AttackerKB reference: CVE-2024-11320

Description: This adds an exploit module for Pandora FMS having a command injection vulnerability (CVE-2024-11320) in the LDAP authentication mechanism.

Ubuntu needrestart Privilege Escalation

Authors: h00die, makuga01, and qualys
Type: Exploit
Pull request: #19676 contributed by h00die
Path: linux/local/ubuntu_needrestart_lpe
AttackerKB reference: CVE-2024-48990

Description: This adds a post module which exploits needrestart on Ubuntu, before version 3.8. It allows local attackers to execute arbitrary code as root by tricking needrestart into running the Python interpreter with an attacker-controlled PYTHONPATH environment variable.

Cleo LexiCom, VLTrader, and Harmony Unauthenticated Remote Code Execution

Authors: remmons-r7 and sfewer-r7
Type: Exploit
Pull request: #19793 contributed by sfewer-r7
Path: multi/http/cleo_rce_cve_2024_55956
AttackerKB reference: CVE-2024-55956

Description: Add an exploit module for CVE-2024-55956, an unauthenticated file write vulnerability affecting Cleo LexiCom, VLTrader, and Harmony versions 5.8.0.23 and below.

Enhancements and features (2)

  • #19734 from h00die – Adds Arch Linux compatibility to the runc_cwd_priv_esc local privilege escalation module.
  • #19752 from h00die – This enhancement adds checks for presence of pprof for Prometheus. It can detect potential denial-of-service or information leakage associated with the pprof package.

Bugs fixed (1)

  • #19800 from zeroSteiner – Fixes an exception when a custom DNS resolver is used that was preventing SRV records from resolving correctly.

Documentation added (2)

  • #19723 from cgranleese-r7 – Add documentation on how to test payload changes when opening pull requests.
  • #19794 from jheysel-r7 – Adds documentation clarify what a passive stance module is and how to declare a module passive.

You can always find more documentation on our docsite at docs.metasploit.com.

Get it

As always, you can update to the latest Metasploit Framework with msfupdate
and you can get more details on the changes since the last blog post from
GitHub:

If you are a git user, you can clone the Metasploit Framework repo (master branch) for the latest.
To install fresh without using git, you can use the open-source-only Nightly Installers or the
commercial edition Metasploit Pro

The need to invest in AI skills in schools

Post Syndicated from Philip Colligan original https://www.raspberrypi.org/blog/the-need-to-invest-in-ai-skills-in-schools/

Earlier this week, the UK Government published its AI Opportunities Action Plan, which sets out an ambitious vision to maintain the UK’s position as a global leader in artificial intelligence. 

Whether you’re from the UK or not, it’s a good read, setting out the opportunities and challenges facing any country that aspires to lead the world in the development and application of AI technologies. 

In terms of skills, the Action Plan highlights the need for the UK to train tens of thousands more AI professionals by 2030 and sets out important goals to expand education pathways into AI, invest in new undergraduate and master’s scholarships, tackle the lack of diversity in the sector, and ensure that the lifelong skills agenda focuses on AI skills. 

Photo of a group of young people working through some Experience AI content.

This is all very important, but the Action Plan fails to mention what I think is one of the most important investments we need to make, which is in schools. 

“Most people overestimate what they can achieve in a year and underestimate what they can achieve in ten years.”

While reading the section of the Action Plan that dealt with AI skills, I was reminded of this quote attributed to Bill Gates, which was adapted from Roy Amara’s law of technology. We tend to overestimate what we can achieve in the short term and underestimate what we can achieve in the long term. 

In focusing on the immediate AI gold rush, there is a risk that the government overlooks the investments we need to make right now in schools, which will yield huge returns — for individuals, communities, and economies — over the long term. Realising the full potential of a future where AI technologies are ubiquitous requires genuinely long-term thinking, which isn’t always easy for political systems that are designed around short-term results. 

Photo focused on a young person working on a computer in a classroom.

But what are those investments? The Action Plan rightly points out that the first step for the government is to accurately assess the size of the skills gap. As part of that work, we need to figure out what needs to change in the school system to build a genuinely diverse and broad pipeline of young people with AI skills. The good news is that we’ve already made a lot of progress. 

AI literacy

Over the past three years, the Raspberry Pi Foundation and our colleagues in the Raspberry Pi Computing Education Research Centre at the University of Cambridge have been working to understand and define what AI literacy means. That led us to create a research-informed model for AI literacy that unpacks the concepts and knowledge that constitute a foundational understanding of AI. 

In partnership with one of the leading UK-based AI companies, Google DeepMind, we used that model to create Experience AI. This suite of classroom resources, teacher professional development, and hands-on practical activities enables non-specialist teachers to deliver engaging lessons that help young people build that foundational understanding of AI technologies. 

We’ve seen huge demand from UK schools already, with thousands of lessons taught in UK schools, and we’re delighted to be working with Parent Zone to support a wider roll out in the UK, along with free teacher professional development.  

CEO Philip Colligan and  Prime Minister Keir Starmer at the UK launch of Experience AI.
CEO Philip Colligan and Prime Minister Keir Starmer at the UK launch of Experience AI.

With the generous support of Google.org, we are working with a global network of education partners — from Nigeria to Nepal — to localise and translate these resources, and deliver locally organised teacher professional development. With over 1 million young people reached already, Experience AI can plausibly claim to be the most widely used AI literacy curriculum in the world, and we’re improving it all the time. 

All of the materials are available for anyone to use and can be found on the Experience AI website.

There is no AI without CS

With the CEO of GitHub claiming that it won’t be long before 80% of code is written by AI, it’s perhaps not surprising that some people are questioning whether we still need to teach kids how to code.

I’ll have much more to say on this in a future blog post, but the short answer is that computer science and programming is set to become more — not less — important in the age of AI. This is particularly important if we want to tackle the lack of diversity in the tech sector and ensure that young people from all backgrounds have the opportunity to shape the AI-enabled future that they will be living in. 

Close up of two young people working at a computer.

The simple truth is that there is no artificial intelligence without computer science. The rapid advances in AI are likely to increase the range of problems that can be solved by technology, creating demand for more complex software, which in turn will create demand for more programmers with increasingly sophisticated and complex skills. 

That’s why we’ve set ourselves the ambition that we will inspire 10 million more young people to learn how to get creative with technology over the next 10 years through Code Club. 

Curriculum reform 

But we also need to think about what needs to change in the curriculum to ensure that schools are equipping young people with the skills and knowledge they need to thrive in an AI-powered world. 

That will mean changes to the computer science curriculum, providing different pathways that reflect young people’s interests and passions, but ensuring that every child leaves school with a qualification in computer science or applied digital skills. 

It’s not just computer science courses. We need to modernise mathematics and figure out what a data science curriculum looks like (and where it fits). We also need to recognise that AI skills are just as relevant to biology, geography, and languages as they are to computer science. 

A teacher assisting a young person with a coding project.

To be clear, I am not talking about how AI technologies will save teachers time, transform assessments, or be used by students to write essays. I am talking about the fundamentals of the subjects themselves and how AI technologies are revolutionising the sciences and humanities in practice in the real world. 

These are all areas where the Raspberry Pi Foundation is engaged in original research and experimentation. Stay tuned. 

Supporting teachers

All of this needs to be underpinned by a commitment to supporting teachers, including through funding and time to engage in meaningful professional development. This is probably the biggest challenge for policy makers at a time when budgets are under so much pressure. 

For any nation to plausibly claim that it has an Action Plan to be an AI superpower, it needs to recognise the importance of making the long-term investment in supporting our teachers to develop the skills and confidence to teach students about AI and the role that it will play in their lives. 

I’d love to hear what you think and if you want to get involved, please get in touch.

The post The need to invest in AI skills in schools appeared first on Raspberry Pi Foundation.

Reviving None-aware operators for Python

Post Syndicated from daroc original https://lwn.net/Articles/1004893/

The idea of adding None-aware operators to Python has sprung up once
again. These would make traversing structures with None values in them
easier, by short-circuiting lookups when a None is encountered. Almost
exactly a year ago, LWN covered the previous attempt to bring
the operators to Python, but there have been periodic discussions stretching back to
2015 and possibly before. This time Noah Kim has taken up the cause. After some debate, he
eventually settled on redrafting the existing PEP to have a more limited scope,
which might finally see it move past the cycle of debate, resurrection, and abandonment that
it has been stuck in for most of the last decade.

Security updates for Friday

Post Syndicated from daroc original https://lwn.net/Articles/1005433/

Security updates have been issued by Debian (rsync and tomcat9), Fedora (chromium, mingw-python-jinja2, redict, and valkey), Gentoo (GIMP and pip), Oracle (.NET, fence-agents, ipa, kernel, python-virtualenv, raptor2, and rsync), Red Hat (.NET 8.0 and .NET 9.0), SUSE (apache2-mod_jk, git, git-lfs, kernel, python-Django, thunderbird, and xen), and Ubuntu (audacity, bcel, dotnet8, dotnet9, gimp-dds, harfbuzz, libxml2, poppler, rsync, and tqdm).

Кабинетът „Желязков“. Консервативният удобен брак

Post Syndicated from Емилия Милчева original https://www.toest.bg/kabinetut-zhelyazkov-konservativniyat-udoben-brak/

Кабинетът „Желязков“. Консервативният удобен брак

Разни караконджули наплашиха хората, че ако няма редовно правителство, българите ще ги сполетят какви ли не злини. Гражданите се отвратиха от политиците, политиците се умориха и изхабиха от поредицата избори и ето че кабинетът е факт. След такова „бабуване“ обществото изглежда готово да преглътне почти всичко, което политиците му сервират – дори най-противоречивите съюзи.

Погледнато отвън, в България вече управлява коалиция с проруска партия в редиците си. С такова заглавие излезе The Financial Times предвид участието на БСП в управляващото мнозинство, формирано от ГЕРБ–СДС. В този съюз влизат още националпопулистите от „Има такъв народ“ (ИТН) и формалните либерали от ДПС – Демокрация за права и свободи (ДПС–ДПС). То предостави своите 19 гласа, за да гарантира с мнозинство от 126 народни представители избирането на кабинета с премиер Росен Желязков (ГЕРБ–СДС).

Вярва ли някой, че такива обиграни и особено прагматични политици, каквито са несъмнено в ДПС, ще подкрепят управляващо мнозинство с решаващи гласове, без да поискат нищо в замяна? Историята говори друго, а последните събития са показателни. 

През юли 2023 г. ДПС, тогава още оглавявано от олигарха Делян Пеевски, санкциониран по „Магнитски“, стана партньор в коалицията между ГЕРБ–СДС и ПП–ДБ, по-известна като не-коалиция и сглобка. Макар да не бе обявено публично, беше известно, че срещу участие в мнозинство за конституционни промени на ДПС е гарантирано запазване на влиянието в регулаторите. Когато се разбра, че им отказват, сглобката се разпадна при ротацията след едва шест месеца управление. А отменените от Конституционния съд текстове от основния закон не само обезсмислиха съглашението, но и нанесоха трудно поправими репутационни щети на ПП–ДБ. 

Единственият приоритет със срок

Обновяването на най-значимите органи е сред първите приоритети на новото мнозинство, както се разбира от споразумението за управление. До 30 дни от подписването му, тоест до средата на февруари, трябва да е готова хронограмата за избор на контролни и регулаторни органи.

Всички органи с изтекъл мандат следва да бъдат попълнени в рамките на 1 година от подписването на настоящото споразумение. 

Първите са Висшият съдебен съвет и неговият Инспекторат, омбудсманът, Антикорупционната комисия, Комисията за конфискация и Сметната палата. На фона на общите фрази и клишета, с които е пълно споразумението, като например „извеждане на качеството на живот на хората като първостепенен приоритет с фокус върху здравеопазването, образованието и развитието на пазара на труда“, тази конкретика е забележителна. И не само. В цялото споразумение от 11 страници всъщност има вписани само два срока – законодателна програма до месец, хронограма и избор на членове на регулатори и в съдебната власт – в рамките на година.

Но най-важните членове се избират с най-голямо мнозинство – от 160 депутати, така реши 50-тият парламент по предложение на сглобката. Затова и споразумението за кабинета „Желязков“ предвижда управляващите да обсъдят възможност за кандидати и на други формации. Някои започнаха да подсказват, че това би било шанс за ПП–ДБ, след като изгубиха възможността да участват в правителството. 

На 5 януари, час след края на поредните разговори между ГЕРБ и „Демократична България“, от партията на Бойко Борисов съобщиха, че ги прекратяват заради нежеланието на ДБ да подкрепи Росен Желязков за премиер. Запазвайки тогава мълчание, ДБ проговориха едва сега, за да обявят, че не са били информирани предварително за решението на ГЕРБ и че мерките, които биха изолирали Пеевски от институционалното обновление, са останали извън споразумението. 

Затова пък другото ДПС не е в изолация. А и все едно кое ДПС. Движението винаги е било част от статуквото, също и от тъмните нелегитимни мрежи на влияние, функциониращи зад кулисите на институциите. Какво се е променило? Да не би ДПС да дава своя десятък в борбата за правова държава, отказвайки се от дял във властта, само и само врагът Пеевски начело на другия брат близнак да е в опозиция? Оглавяваната от Ахмед Доган партия ДПС – Демокрация за права и свободи, успешно изигра ролята на жертва на олигарха, но виктимизацията, свързана с натиск върху активисти и кметове и с антикорупционни и прокурорски „бухалки“, не пречи да бъде поставен въпросът с какво ценностно едното ДПС е по-различно от другото. В крайна сметка тяхното ДНК е не просто сходно, а идентично. 

Отделянето на Пеевски с част от някогашния елит на ДПС и със създаден от него нов не променя същността на формацията, разделила се на две. Едно е ясно – политическата аритметика може да изглежда различна, но правилата на играта в българската политика остават непроменени.

Засега обаче кръгът около Доган е наложил стратегическата фасада на политическа сила, която не иска нищо в замяна на подкрепата си. Същото направи и Пеевски в предходния парламент в опит да се препозиционира като конструктивен играч в процеса на изграждане на „правова държава“ и в предните редици на евроатлантиците. 

С въздишки на облекчение

Липсата на открити претенции за участие във властта може да е ход за намаляване на общественото недоволство, докато зад кулисите се дърпат конците. ДПС има черен колан в тази игра на влияние, а „изпуснатата“ в навечерието на връчването на мандата информация, че искат постове, но им е отказано, е просто игра. Така, от една страна, се демонстрира, че без тях не може, от друга – колко твърди и непреклонни са ГЕРБ. Обществото обаче едва ли вярва, че ДПС е обикновена подпора на правителството и мнозинството, а въпросът какво е поискало, скоро ще намери своя отговор в реализацията на приоритетите.

След гласуването на правителството, избрано повече от 80 дни след изборите, въздишките на облекчение са повече, независимо от реториката в пленарната зала. Партиите не искат нови избори. Дори и за някои от най-кресливите в опозиция, каквито са „Възраждане“ и МЕЧ, е по-изгодно да са част от работещ парламент, макар че конкуренцията в тази част на политическия спектър е огромна, а избирателите на Костадин Костадинов се умориха да чакат кога ще вземат властта. 

За ГЕРБ–СДС би било недопустимо отново да се провалят в опита да съставят правителство. А и във всеки момент могат да разтурят коалицията, в случай че започне да им пари под краката. Бойко Борисов не влиза в конфронтация с Пеевски. 

ГЕРБ има шанс да извлече позитиви след влизането на България в еврозоната, което е все по-вероятно да стане от 1 януари 2026 г. Така Борисов ще се похвали с пълен цикъл, след като в края на третото му правителство България беше приета в Европейския банков съюз и в т.нар. чакалня на еврозоната – механизма на валутните курсове ΕΡΜ II. 

В споразумението за съставяне на кабинета пътят към еврото е изчерпан с изречението: 

4.4. Продължаване на усилията за членство на България в еврозоната. 

Засега министрите на БСП, която открито се противопоставя на този процес, избягват коментари по темата. Те най-вероятно са заети да четат списъци за назначения, които в скоро време ще извършат. 

За еврозоната другият партньор във властта – ИТН, мисли като „Възраждане“: някой ден, но не сега. Нали двете политически сили заедно искаха да правят такъв референдум. По Нова телевизия в петък депутатът от ИТН Станислав Балабанов обясни позицията.

ИТН са „за“ България да влезе в еврозоната, но когато е готова – с тази дупка от 18 млрд. лева по-скоро не е готова.

За ПП–ДБ оставането в опозиция ще е изпитание и за лидерството им, и за вътрешнокоалиционните връзки – напрежението между двете формации е видимо, а фактът, че преговорите с ГЕРБ водеше само ДБ, намали шансовете за добър изход. В първите часове след гласуването на новия кабинет от „Продължаваме промяната“ обявиха, че пускат канал в ΥοuTube „Опозиция“, в който ежедневно ще представят позициите си. 

Борисов пък обвини лидерите на ПП в съглашателство с Пеевски и неговото ДПС – Ново начало, споменавайки за „погледите като на мартенски мачароци между Асен Василев и Данчо Цонев“.

Всички колеги много искахме „Да, България“ да влезе в правителството. Затова приехме всички компромиси за съдебната реформа. Затова и чакахме до последно. Ние положихме много усилия с ДБ. Но не стана. Затова преценихме, че по-добрият вариант е АПС. Защото няма нужда от празнодумни декларации, които повече от месец да ми ги веят. Когато вкарваш в правителството най-големия враг на Делян Пеевски – Ахмед Доган… Как по-ясно да го кажа?! Да ви кажа, че няма да работим с Пеевски?! Няма да работим с Пеевски.

Запазването на Борислав Сарафов като и.ф. главен прокурор за още шест месеца не вещае добри новини за ръководството на ПП в лицето на Кирил Петков, Лена Бориславова и Асен Василев. На първите двама бяха поискани имунитетите, но Бориславова не се е отказала от своя, за разлика от Петков. Василев е застрашен от евентуални показания на сътрудника му Лъчезар Ставрев, арестуван за длъжностно престъпление и пране на пари и оставен за постоянно в ареста от Софийския апелативен съд. Много свидетелски показания изтекоха контролирано в медии, свързвани с Пеевски. 

Лика-прилика

А обединилите се в правителство политически сили повече си приличат, отколкото се различават. Консерватизмът им започна да личи още повече след избора на Доналд Тръмп за американски президент, също и проруските симпатии, изразени по-слабо или по-силно при всяка от тях. (Лидерът на ИТН Слави Трифонов беше поздравил Доналд Тръмп за избирането му като американски президент като част от общото консервативно семейство.) Коалиралите се в правителството партии могат да бъдат разграничени единствено по формални белези, като членство в европейското политическо семейство например. Макар че БСП е твърде далеч от европейските социалдемократи. 

Част от този консервативно-патриотичен блок е и президентът Румен Радев, без чието съдействие правителството не би било възможно. За първи път ГЕРБ ще управлява с министър-председател, който не се нарича Бойко Борисов. Това би могло да донесе само неприятности на Росен Желязков въпреки неговата маневреност и опит и в ГЕРБ, и в държавната администрация.

В парламента цялата отговорност за укрепване на мнозинството пада на гърба на Борисов. Лидерите на БСП са в правителството, групата лесно може да бъде „пробита“. ИТН са доказали, че не са от най-стабилните съюзници. Ако партия „Величие“ влезе в парламента, мнозинството става трудно за удържане и с цената на кой знае какви компромиси. 

Консервативният удобен брак ще издържи ли?

Social Engineering to Disable iMessage Protections

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2025/01/social-engineering-to-disable-imessage-protections.html

I am always interested in new phishing tricks, and watching them spread across the ecosystem.

A few days ago I started getting phishing SMS messages with a new twist. They were standard messages about delayed packages or somesuch, with the goal of getting me to click on a link and entering some personal information into a website. But because they came from unknown phone numbers, the links did not work. So—this is the new bit—the messages said something like: “Please reply Y, then exit the text message, reopen the text message activation link, or copy the link to Safari browser to open it.”

I saw it once, and now I am seeing it again and again. Everyone has now adopted this new trick.

One article claims that this trick has been popular since last summer. I don’t know; I would have expected to have seen it before last weekend.

В черната кутия на изкуствения интелект

Post Syndicated from Диана Кулчицкая original https://www.toest.bg/v-chernata-kutiya-na-izkustveniya-intelekt/

В черната кутия на изкуствения интелект

В последните години все повече се говори за изкуствения интелект (ИИ). През изминалата 2024 година той продължи да показва стремителен ръст в най-различни сфери. Технологията стана още по-разпространена и със сигурност можем да кажем, че съвременният човек се сблъсква с ИИ почти постоянно, макар и невинаги да си дава сметка за това. Когато използваме програми за автоматичен превод, когато търсим нещо в интернет, когато включваме гласовия помощник в нашия телефон, ние си имаме работа cъс самообучаващи се алгоритми. Те вече са част от нашия живот и в близко време няма да изчезнат.

Независимо от широкото разпространение на ИИ, в масовото съзнание той остава нещо като черна кутия, от която може да излезе какво ли не. Често самата технология се възприема като мистична, понякога дори зловеща. Най-песимистично настроените рисуват апокалиптично бъдеще, в което човечеството е във властта на машините. Други пък са излишно оптимистични и виждат само положителните аспекти на внедряването на ИИ, бързат да го прилагат безконтролно дори там, където това създава сериозни рискове. Може би по-балансираният и рационален подход би могъл да помогне да не отричаме ползите от тази иновация, но и да не си затваряме очите за съвсем реалните заплахи.

Развитието на ИИ през 2024 г.

2024-та беше белязана от много ключови събития, свързани с ИИ. Почти масов стана визуалният генеративен изкуствен интелект, който позволява да се създават изображения и видеа. Инструменти като Midjourney и DALL-E генерираха големи печалби и привлякоха милиони потребители по целия свят. През изминалата година ИИ започна по-активно да се използва в сферата на медицината и здравеопазването. При разработването на нови лекарства учените все по-често прибягват до него и тези опити вече носят конкретни резултати. Освен това доста малки и средни бизнеси използват ИИ в практиката си. Отминаха времената, когато технологията беше достъпна само за големите компании със сериозни финансови възможности.

През изминалата година обаче имаше и трудности за софтуерните гиганти, които разработват ИИ. Още в края на 2023 г. световноизвестният американски вестник New York Times заведе дело срещу Open AI. Всекидневникът обвини създателите на Open AI, че са нарушили авторските права и са използвали нерегламентирано текстовете на медията. Делото стана повод за голяма дискусия относно интелектуалното право в епохата на ИИ. Някои анализатори изказаха мнение (вж. например тук, тук и тук), че е по-добре да захранваме ИИ с качествени текстове вместо с всевъзможни източници, много от които със съмнителна стойност, за да може езиковият модел да се учи и да работи с проверени данни. Несъгласието на големите традиционни медии да предоставят съдържанието си осуетява този процес.

В България 2024 година също беше богата на събития, свързани с ИИ. През есента институтът INSAIT представи bgGPT – първия езиков модел изцяло на български. Той разполага с повечето функции, които притежава ChatGPT на компанията Open AI, но работи с български източници и е изцяло безплатен. Освен това родните медии за първи път открито започнаха да прилагат активно ИИ за изготвяне на дописки. Появи се и първият виртуален водещ, генериран от ИИ. През март Bulgaria On Air представи Иван, който е създаден изцяло с помощта на ИИ и си партнира в сутрешния блок на телевизията с двама истински водещи.

Общ поглед към развитието на ИИ

Според теорията за дифузия на иновациите, популяризирана от Евърет Роджърс през 1962 г., всяка технология преминава през стандартни етапи в своето разпространение, преди да стане масова. Първоначално има малка група от иноватори, които я създават и допринасят за развитието ѝ. След това се появява т.нар. ранно мнозинство. То се състои от хора с напредничаво мислене, които не се страхуват от новото. Те започват да използват технологията и да я популяризират. После идва късното мнозинство. Накрая, когато дадена технология вече е станала масова, се появяват изоставащите – онези, които доста късно решават да се обърнат към иновацията.

Ако анализираме ИИ от тази гледна точка, ще видим, че технологията вече започва да става масова, но още не е минала пиковия си момент на развитие. Както при разпространението на други технологии, високите очаквания, а също и крайно изразените страхове показват, че още не сме съвсем наясно къде ще ни отведе ИИ. В същото време от статистическа гледна точка през изминалата година разпространението му става доста масово. Проучване на McKinsey, публикувано през май 2024 г., показва, че използването на ИИ в работна среда продължава да расте. Все повече хора признават, че интегрират технологията в работата си по един или друг начин. Според проучването, включващо участници от цял свят, около 65% от запитаните казват, че в техните организации ИИ се използва редовно. Това число представлява почти двойно увеличение в сравнение с 2023 г.

Отношенията между ИИ и човека. Реални и потенциални проблеми

Известният британски математик и информатик Стюарт Ръсел е привърженик на „човешки центрирания“ подход към ИИ. Той смята, че технологията трябва да служи на човека, а не да преследва свои собствени цели. За момента все още не съществува свръхинтелект, тоест машина, която притежава съзнание и може да действа самостоятелно. Днес използваме алгоритми, които имат доста конкретно и ограничено приложение. Това обаче не значи, че в близкото бъдеще няма да се появи компютър, който притежава когнитивните способности на човека и дори ги превъзхожда.

Ръсел също така отбелязва, че не бива да се позволява на ИИ да взема решения, които са свързани със съдбата на човека. Например ученият смята, че използването на оръжие, управлявано от ИИ, може да доведе до катастрофални последствия, дори до геноцид.

Ако създаването на свръхефективен ИИ за момента е по-далечна перспектива, сегашната информационна среда крие по-осезаеми рискове. Манипулирането на данни и създаването на фалшиви видеа с помощта на ИИ никога не е било толкова лесно, колкото е в момента. Deep fake клипове са залели социалните медии. Днес на практика всеки може да създаде подобно съдържание, дори не е необходимо да притежава скъп софтуер и специални умения. Това прави дезинформацията и злонамереното изопачаване на фактите много по-лесно.

Друг проблем е свързан с неконтролираното използване на ИИ от ученици и студенти. Писането на есета само с помощта на ChatGPT, без редактиране и осмисляне на предложения от него вариант, води до това, че умението за създаване на авторски текстове се губи. Може би забраната на използването на ИИ в обучението не е най-добрата идея, но със сигурност има нужда да се формулират нови правила за оценяване и нови задания, които да не изкушават учащите се да прибягват до ИИ за решаване на всеки въпрос. 

Трети проблем, който активно се обсъжда в различни индустрии, са промените в пазара на труда и отпадането на някои специалности, в които човекът може да бъде заменен от ИИ. Такава заплаха потенциално съществува, но е доста преувеличена. За момента ИИ прекрасно се справя с механични задачи, изчисления и търсене на закономерности, но не е добър в творчеството, защото работи със шаблони. Той може да бъде използван и в дизайна, и в изкуството, обаче без необходимата намеса на човека понякога създава произведения със съмнителна художествена стойност, макар и да има интересни попадения.

Политика и ИИ

ИИ вълнува не само учените и обикновените потребители, но и политиците. САЩ продължават да бъдат лидер в сферата, но и Европейският съюз не иска да изостава в тази технологична надпревара. От една страна, през 2024 г. видяхме големи инвестиции в технологичните компании в Европа. От друга страна обаче, станахме свидетели на приемането на първите общоевропейски регулации на ИИ. В ЕС те са най-строгите, ако ги сравняваме с въведените в САЩ и Китай. Налагането на правила в тази сфера със сигурност е необходимо, но и прекалената регулация може да изиграе лоша шега на европейската ИИ индустрия, тъй като е възможно да стопира – или поне да забави – развитието на иновацията със създаването на бюрократични пречки.

Великобритания също не иска да изостава в тази надпревара. Преди броени дни премиерът на Обединеното кралство Киър Стармър направи изявление, посветено на ИИ. Стармър каза, че технологията вече е част от днешната реалност и че той иска неговата държава да е начело на новата технологична революция, която вече е в ход по света.

Старият страх от новите технологии

Всяко ново изобретение първоначално буди страх и неразбиране. Така е било с радиото в началото на неговото развитие. Някои са смятали, че децата няма да могат да заспят след слушането на радиопредавания и ще сънуват кошмари. Известно е, че изобретяването на телефона също е предизвикало много бурни реакции. Има исторически свидетелства, че мнозина са смятали телефонните линии за проводници на зли духове. Класикът на българската литература Иван Вазов получил като подарък един от първите телефони в България, но отказвал да го използва.

Изкуственият интелект буди сериозни притеснения сред хората. Мнозина смятат, че ще загубят работните си места, че децата ще затъпеят и няма да искат да мислят сами, а програмите за генериране на съдържание ще убият креативността като цяло.

Много учени отбелязват, че ИИ е поредният инструмент, който може да се използва както за добро, така и за лошо. Както казва Лин У от Университета в Пенсилвания (САЩ), трябва да си дадем сметка в какво са добри хората, в какво – машините и как те могат да работят заедно, за да постигнат по-добри резултати. Тя също така смята, че ако човек е добър в дадена сфера и използва ИИ, може да стане само по-ефективен. Но ако не е добър в работата си и залага изцяло на алгоритмите, това може да му попречи сериозно. Винаги трябва критично да се отнасяме към резултатите, получени с помощта на ИИ, защото технологията не е безупречна и вероятно никога няма да бъде. Затова критичното мислене и медийната грамотност са ключови за минимизиране на рисковете, свързани с ИИ.

Serverless ICYMI Q4 2024

Post Syndicated from Eric Johnson original https://aws.amazon.com/blogs/compute/serverless-icymi-q4-2024/

Welcome to the 27th edition of the AWS Serverless ICYMI (in case you missed it) quarterly recap. At the end of a quarter, we share the most recent product launches, feature enhancements, blog posts, webinars, live streams, and other interesting things that you might have missed!

In case you missed our last ICYMI, check out what happened in Q2 here.

Calendar showing October through December 2024

2024 Q4 calender

Serverless at re:Invent 2024

AWS re:Invent 2024 had 60,000 in-person attendees and 400,000 online viewers for the keynotes. The conference delivered 1,900 sessions from 3,500 speakers and included 546 AWS service and feature announcements.

The serverless content consisted of two tracks: Serverless (SVS) and App Integration (API). These tracks included 70 unique sessions and attracted nearly 11,000 attendees. Serverlesspresso, the coffee shop powered by serverless technology, operated in two locations during the event: the Expo Hall and the certification lounge.

Crowd of people standing around the AWS reI:nvent expo hall waiting to order coffee at the Serverlesspresso booth.

Serverlesspresso booth in the expo hall

Videos are available on Serverless Land YouTube.

AWS Lambda and Amazon Elastic Container Service (Amazon ECS) 10-year anniversary.

AWS marked significant milestones in serverless computing, celebrating 10 years of AWS Lambda and Amazon ECS. Lambda now serves over 1.5 million monthly customers and processes tens of trillions of requests each month. Amazon ECS launches more than 2.4 billion container tasks weekly and is used by over 65% of new AWS container customers.

AWS is commemorating this anniversary with insights from AWS Serverless Heroes, product leads, principal engineers, and AWS leadership sharing their perspectives on serverless evolution and future directions. These stories and insights are available at https://aws.amazon.com/serverless/10th-anniversary/.

AWS Lambda

The AWS Lambda team has spent a significant amount of time improving the Lambda development experience. Several enhancements have been made in the console as well as the local development experience.

Screen capture of the new AWS Lambda console with Code-OSS

Code-OSS as the new AWS Lambda inline editor

Lambda has launched a significant upgrade to its console by integrating Code-OSS, the open-source version of Visual Studio Code, delivering a familiar development experience directly in the cloud. The new Lambda Code Editor supports viewing larger function packages up to 50 MB, features a split-screen interface for simultaneous code editing and testing, and includes built-in Amazon Q Developer AI assistance for real-time coding suggestions. This enhancement comes at no additional cost and prioritizes accessibility with features like screen reader support and keyboard navigation. The update bridges the gap between cloud and local development by simplifying the process of downloading function code and AWS SAM templates, ultimately providing developers with a more streamlined and familiar serverless development experience. Watch the video explaining the changes in detail.

Additionally, the Lambda console enhances developer experience with two new features: a built-in CloudWatch Metrics Insights dashboard that surfaces key function metrics, and CloudWatch Logs Live Tail support for real-time log streaming and analysis, enabling faster troubleshooting without leaving the Lambda environment.

Screen capture of the new top 10 functions in the new AWS Lambda console

Top 10 Functions

Lambda now supports native JSON structured logging for .NET managed runtime applications, improving log searchability and analysis capabilities without requiring manual configuration of logging libraries.

Lambda has expanded its runtime support by adding Python 3.13 and Node.js 22 as both managed runtimes and container base images, providing access to the latest language features and ensuring long-term support through October 2029 and April 2027, respectively.

Lambda SnapStart capability is now available for Python and .NET runtimes, delivering sub-second startup performance for latency-sensitive applications by caching initialized execution environments.

Diagram of how SnapStart works compared to not having SnapStart

SnapStart support comparison

New CloudWatch metrics for Lambda Event Source Mappings provide enhanced visibility into event processing states for Amazon Simple Queue Service (SQS), Amazon Kinesis, and Amazon DynamoDB event sources, helping customers monitor and troubleshoot event processing issues.

Lambda introduces Provisioned Mode for Kafka event source mappings, allowing customers to optimize throughput by configuring dedicated event polling resources for applications with stringent performance requirements.

Finally, Lambda introduces an enhanced local development experience through the AWS Toolkit for Visual Studio Code, streamlining the serverless application development workflow. The update features a new Application Builder interface that guides developers through environment setup, offers sample applications, and provides quick-action buttons for common tasks like build, deploy, and invoke operations. Developers can now efficiently iterate on their code with features such as configurable build settings, step-through debugging, and the ability to sync local changes quickly to the cloud or perform full deployments. The toolkit integrates with AWS Infrastructure Composer for visual application building and includes comprehensive local testing capabilities with shareable test events. This enhancement simplifies the Lambda development process by enabling developers to author, test, debug, and deploy serverless applications without leaving their preferred IDE environment.

Screen capture of the getting started experience for serverless in a local IDE

Local IDE getting started

Amazon ECS and AWS Fargate

AWS enhances observability for containerized applications with CloudWatch Application Signals for Amazon ECS, adding infrastructure metrics correlation to existing traces and logs monitoring, enabling operators to identify and resolve performance issues across their application stack.

Amazon ECS adds service revision and deployment history tracking, allowing customers to monitor changes, track ongoing deployments, and debug deployment failures for long-running applications deployed after October 25, 2024.

A graph explaining the flow for service order and history

Service revisions and deployment history

Amazon ECS expands testing capabilities by supporting network fault injection experiments on AWS Fargate through AWS Fault Injection Service, enabling developers to verify application resilience using six different types of fault injection actions, including network disruptions and resource stress testing.

Amazon EventBridge

Amazon EventBridge announces significant performance improvements, reducing end-to-end latency by up to 94% from 2,235ms to 129.33ms at P99, enabling faster event processing for time-sensitive applications like fraud detection and gaming.

Amazon EventBridge and AWS Step Functions now integrate with private APIs through AWS PrivateLink and Amazon VPC Lattice, enabling secure connectivity between cloud and on-premises applications without custom networking code.

Screen capture of the Amazon EventBridge create connection screen showing the new Private option

Connections to Private APIs

EventBridge API destinations introduces proactive OAuth token refresh for public and private authorization endpoints, helping prevent delays and errors by automatically refreshing tokens before expiration.

AWS Step Functions

AWS Step Functions introduces the ability to export workflows as CloudFormation or SAM templates directly from the AWS console, enabling repeatable provisioning across accounts. Developers can export and customize templates from existing workflows, and use AWS Infrastructure Composer to visually connect workflows with other AWS resources.

Step Functions also adds Variables and JSONata support to enhance workflow development. Variables allow data assignment and reference between states, simplifying payload management, while JSONata provides advanced data transformation capabilities, including date formatting and mathematical operations. These features reduce the need for custom code and intermediate states, making it easier to build distributed serverless applications. Watch the in depth video to learn more.

Screen capture of AWS Step Function workflow studio using JSONata and variables in an example

JSONata and variables

Amazon Kinesis

Amazon Kinesis introduces significant updates to its client libraries. The new Kinesis Client Library (KCL) 3.0 reduces compute costs by up to 33% through enhanced load balancing, while the Kinesis Producer Library (KPL) 1.0 improves performance and security. Both libraries now support AWS SDK for Java 2.x and eliminate dependencies on SDK for Java 1.x, enabling seamless upgrades without requiring application code changes.

Screen capture of CPU usage metrics

KCL 3.0 metrics

Amazon MQ

Amazon MQ adds support for AWS PrivateLink, enabling customers to access Amazon MQ API endpoints directly from their VPC through interface VPC endpoints, eliminating the need for internet access and providing enhanced security through AWS’s internal network infrastructure.

Amazon Finch

AWS announces general availability of Linux support for Finch, an open source container development tool that simplifies building, running, and publishing Linux containers across all major operating systems. The release includes support for the Finch Daemon with Docker API compatibility and is available through RPM packages for Amazon Linux 2 and Amazon Linux 2023.

Amazon Simple Queue Service (SQS)

Amazon SQS increases the in-flight message limit for FIFO queues from 20,000 to 120,000 messages, enabling higher concurrent message processing. This enhancement allows customers to scale their receivers and process up to six times more messages simultaneously, provided they have sufficient publish throughput.

Amazon Managed Streaming for Apache Kafka(Amazon MSK)

Amazon MSK now introduces Managed Streaming for Apache Flink blueprints to simplify real-time AI application development. The service enables vector-embedding generation through Amazon Bedrock, streamlining the integration of streaming data with generative AI models. Using a straightforward configuration process, users can generate and index vector embeddings in Amazon OpenSearch, while leveraging LangChain’s data chunking capabilities for enhanced data retrieval efficiency. The service handles all integration aspects between MSK, embedding models, and Amazon OpenSearch vector stores.

AWS Amplify

AWS Amplify launches the Amplify AI kit for Amazon Bedrock, providing fullstack developers with tools to integrate AI capabilities into web applications. The kit includes a customizable React UI component, secure Bedrock access, and context-sharing features, enabling developers to implement chat, search, and summarization functionalities without machine learning expertise.

AWS AppSync

AWS AppSync launches AppSync Events, enabling developers to broadcast real-time data to multiple subscribers through serverless WebSocket APIs. The service eliminates the need to build and manage WebSocket infrastructure while providing secure, scalable event broadcasting capabilities. Developers can create APIs that automatically scale and integrate with services like Amazon EventBridge. The system supports features such as channel namespaces, event handlers, and multiple authorization modes, and is available in all regions where AWS AppSync operates. Users only pay for API operations and real-time connection minutes used.

Screen capture from the AWS AppSync console to create a new Event API.

Creating an AppSunc Event API

Amazon API Gateway

Amazon API Gateway released a significant enhancement to Amazon API Gateway, enabling customers to manage private REST APIs using custom private DNS names. This highly requested feature allows API providers to use user-friendly domain names like private.example.com, while maintaining TLS encryption for security. The implementation process involves creating a private custom domain, configuring certificates through AWS Certificate Manager (ACM), mapping private APIs, and setting resource policies. The feature supports cross-account sharing through AWS Resource Access Manager (AWS RAM) and is now available in all AWS Regions, including AWS GovCloud (US).

Serverless blog posts

October

November

Serverless Office Hours

Image from YouTube from the latest four Serverless Office Hours

Serverless office hours videos

October

November

Still looking for more?

The Serverless landing page has more information. The Lambda resources page contains case studies, webinars, whitepapers, customer stories, reference architectures, and even more Getting Started tutorials.

You can also follow the Serverless Developer Advocacy team on X (formerly Twitter) to see the latest news, follow conversations, and interact with the team.

And finally, visit the Serverless Land  for all your serverless needs.

The many names of commit 55039832f98c

Post Syndicated from corbet original https://lwn.net/Articles/1005222/

The kernel is, on its face, a single large development project, but
internally it is better viewed as 100 or so semi-independent projects all
crammed into one big tent. Within those projects, there is a fair amount
of latitude about how changes are managed, and some subsystems are using
that freedom in the search for more efficient ways of working. In the end,
though, all of these sub-projects have to work together and interface with
kernel-wide efforts, including the stable-release and CVE-assignment
processes. For some time, there has been friction between the direct
rendering (DRM, or graphics) subsystem and the stable maintainers; that
friction recently burst into view in a way that shows some of the
limitations of how the kernel community manages patches.

The collective thoughts of the interwebz