ZDNet至顶网软件频道消息:在美国拉斯维加斯召开的Defcon 22黑客大会上,有高手表示,甲骨文大肆宣传的数据库12c的Data redaction(数据校订)功能一攻即破,连找代码漏洞都不用。
12c里Redaction功能的目的是自动保护敏感数据库资料,其做法是完全遮掩或是部分掩盖列里面的数据,例如,在运行美国社会安全号码的搜索查询时,只用最后四位数字。
不过,根据Datacomm TSS安全专家和《甲骨文黑客手册》一书的作者David Litchfield的说法,Redaction用到的安全机制漏洞百出,基本上不需要劳神进行本地代码攻击就可以摧毁Redaction,据说只要略施某个SQL招就可以搞定。
Litchfield称,“假若甲骨文有个像样的安全开发周期,早就应该有人发现此缺陷了。”
“会一点SQL的人都能发现这些错误。”
Litchfield称只花了不到五分钟研究Redaction,就找到了其编码的严重缺陷。他以前在网上发表过他的调查结果。
他演示了一个不怀好意的员工——或是会远程注入SQL查询的人——只需简单地敲几下键盘就可以获得足够的权限击破数据Redaction的防御,访问数据库中的信息。
甲骨文CEO拉里·埃里森今年1月说过,就他所知二十年来没有人攻破过甲骨文数据库。Litchfield嘲笑埃里森的说法。Litchfield称,2011年黑客攻击索尼PlayStation网络导致PlayStation网络下线近两个月,最后查出是甲骨文数据库的事。
Litchfield表示,作为一名安全研究人员,他发现破绽后总是会向供应商报告。但他对甲骨文的反应速度表示无奈,说甲骨文打补丁速度慢,而且发布的修补程序要么是不工作或是不完整。
Litchfield星期五在Defcon大会上指出,通常情况下甲骨文的工程师只是针对攻击代码发个补丁,而不是修补本质缺陷。这样做不是个好方法,原因是小修小改攻击代码后就可以击败新的保护措施。
Litchfield表示,微软在数据安全方面的做法是可取的。2005年比尔·盖茨发了个安全备忘录,整个SQL 2005开发团队放下手里的工作,全面审查旧代码的安全性。
后来的结果是Microsoft SQL补丁和检测到的Microsoft SQL毛病急剧减少,IIS和Exchange的代码安全性也得到了很大提高。Litchfield建议甲骨文在安全方面抄一抄微软的功课,他说客户也应该要求甲骨文做出改变。
Litchfield最后说道,“如果你运行的是甲骨文数据库服务器,你不喜欢他们在安全方面对待你的做法的话,那就要给他们打电话说这事。我们真的有必要搞定这码子事。”
据了解,甲骨文还没有完全修补Litchfield提到的错误。记者曽就此事联系过甲骨文无果。
好文章,需要你的鼓励
zip2zip是一项创新技术,通过引入动态自适应词汇表,让大语言模型在推理时能够自动组合常用词组,显著提高处理效率。由EPFL等机构研究团队开发的这一方法,基于LZW压缩算法,允许模型即时创建和使用"超级tokens",将输入和输出序列长度减少20-60%,大幅提升推理速度。实验表明,现有模型只需10个GPU小时的微调即可适配此框架,在保持基本性能的同时显著降低计算成本和响应时间,特别适用于专业领域和多语言场景。
这项研究创新性地利用大语言模型(LLM)代替人类标注者,创建了PARADEHATE数据集,用于仇恨言论的无毒化转换。研究团队首先验证LLM在无毒化任务中表现可与人类媲美,随后构建了包含8000多对仇恨/非仇恨文本的平行数据集。评估显示,在PARADEHATE上微调的模型如BART在风格准确性、内容保留和流畅性方面表现优异,证明LLM生成的数据可作为人工标注的高效替代方案,为创建更安全、更具包容性的在线环境提供了新途径。
这项研究由中国科学技术大学的研究团队提出了Pro3D-Editor,一种新型3D编辑框架,通过"渐进式视角"范式解决了现有3D编辑方法中的视角不一致问题。传统方法要么随机选择视角迭代编辑,要么同时编辑多个固定视角,都忽视了不同编辑任务对应不同的"编辑显著性视角"。Pro3D-Editor包含三个核心模块:主视角采样器自动选择最适合编辑的视角,关键视角渲染器通过创新的MoVE-LoRA技术将编辑信息传递到其他视角,全视角精修器修复并优化最终3D模型。实验证明该方法在编辑质量和准确性方面显著优于现有技术。
这项研究提出了ComposeAnything,一个无需重新训练的框架,可显著提升AI图像生成模型处理复杂空间关系的能力。该技术由INRIA、巴黎高师和CNRS的研究团队开发,通过三个创新步骤工作:首先利用大型语言模型创建包含深度信息的2.5D语义布局,然后生成粗略的场景合成图作为先验指导,最后通过物体先验强化和空间控制去噪引导扩散过程。在T2I-CompBench和NSR-1K基准测试中,该方法远超现有技术,特别是在处理复杂空间关系和多物体场景时表现卓越,为AI辅助创意设计开辟新可能。