open source Archivi - Webbare

Gli strumenti open-source di Holistic contrastano i rischi dello sviluppo dell’IA

admin — Wed, 23 Oct 2024 12:48:10 +0000

Holistic ha presentato una libreria open-source che aiuta a contrastare i rischi dello sviluppo dell’IA e a costruire sistemi più equi e responsabili.

La libreria, denominata Holistic AI OSL, arriva in un momento cruciale in cui le organizzazioni stanno impiegando sempre più spesso sistemi di IA in settori sensibili, come il reclutamento, la sanità e i servizi finanziari. Studi recenti suggeriscono che il 65% dei ricercatori e degli sviluppatori di IA considerano ancora i pregiudizi una sfida significativa nel loro lavoro.

Holistic AI OSL affronta i cinque principali rischi tecnici associati allo sviluppo dell’IA attraverso una suite completa di strumenti. Particolarmente degne di nota sono le capacità di mitigazione dei bias della libreria, che offre oltre 35 metriche di bias per cinque attività di apprendimento automatico e 30 strategie di mitigazione distinte.

Oltre al rilevamento e all’eliminazione delle distorsioni, il toolkit offre solide funzioni per la spiegabilità dei modelli, aiutando gli sviluppatori a capire e comunicare come i loro sistemi di IA arrivano alle decisioni. La libreria si occupa anche della robustezza del sistema, garantendo prestazioni costanti anche in caso di attacchi avversari o variazioni dei dati.

“La nostra nuova libreria fornisce alle organizzazioni strumenti per tutti i rischi dell’IA, tra cui la spiegabilità, la robustezza e la parzialità”, spiega Adriano Koshiyama, Co-CEO di Holistic AI. “Supporta la misurazione, il reporting e la mitigazione in ogni fase del ciclo di vita dell’IA, offrendo una delle soluzioni più avanzate per migliorare la qualità delle applicazioni di IA”.

La libreria pone un’enfasi significativa sulla sicurezza, incorporando caratteristiche che preservano la privacy, come le tecniche di anonimizzazione e le difese contro gli attacchi di inferenza degli attributi. Inoltre, aiuta gli sviluppatori a bilanciare le esigenze spesso contrastanti di accuratezza, correttezza, robustezza e sicurezza attraverso scenari di test completi e reali.

Il gigante mondiale delle assicurazioni MAPFRE, che opera in quasi 40 paesi e serve oltre 30 milioni di clienti, ha già integrato la libreria nel suo stack di sviluppo dell’intelligenza artificiale.

César Ortega, Expert Data Scientist di MAPFRE, ha commentato: “Ciò che distingue questa libreria è la sua profondità: non si tratta solo di identificare i rischi dell’IA, ma di affrontarli attivamente con tecniche di mitigazione collaudate e pronte per il settore, il che la rende una parte essenziale di qualsiasi kit di strumenti per lo sviluppo dell’IA etica”.

La libreria Python è disponibile gratuitamente e senza requisiti di licenza.

L'articolo Gli strumenti open-source di Holistic contrastano i rischi dello sviluppo dell’IA proviene da Webbare.

PostgreSQL 17 fa fare un balzo in avanti ai database open-source

admin — Wed, 02 Oct 2024 12:11:58 +0000

Il PostgreSQL Global Development Group ha presentato PostgreSQL 17, l’ultima iterazione di quello che è ampiamente considerato il database open-source più avanzato al mondo. Questa release segna una pietra miliare nell’evoluzione del database, apportando sostanziali miglioramenti alle prestazioni e nuove funzionalità che soddisfano le esigenze di gestione dei dati sia emergenti che consolidate.

PostgreSQL 17 si basa sulle sue solide fondamenta, offrendo prestazioni e scalabilità migliorate e adattandosi ai modelli di accesso e archiviazione dei dati contemporanei. L’aggiornamento introduce un sistema di gestione della memoria rinnovato per le operazioni di vuoto, ottimizzazioni per l’accesso allo storage e miglioramenti per i carichi di lavoro ad alta carenza. Gli utenti possono aspettarsi un caricamento e un’esportazione più veloci, oltre a miglioramenti nell’esecuzione delle query per gli indici.

“PostgreSQL 17 evidenzia come la comunità open-source globale, che guida lo sviluppo di PostgreSQL, crei miglioramenti che aiutano gli utenti in tutte le fasi del loro viaggio nei database”, ha dichiarato Jonathan Katz, membro del core team di PostgreSQL.

“Sia che si tratti di miglioramenti per la gestione dei database su scala, sia che si tratti di nuove funzionalità che si basano su una piacevole esperienza per gli sviluppatori, PostgreSQL 17 migliorerà la vostra esperienza di gestione dei dati”.

Una delle caratteristiche principali di questa versione è la significativa riduzione del consumo di memoria per i processi di vuoto. La nuova struttura della memoria interna utilizza fino a 20 volte meno memoria, rendendo più veloci le operazioni di vuoto e liberando risorse per altre attività.

I carichi di lavoro a elevata concurrency possono beneficiare di un throughput di scrittura fino a due volte superiore, grazie ai miglioramenti apportati all’elaborazione dei log write-ahead (WAL). L’introduzione di un’interfaccia di I/O in streaming accelera le scansioni sequenziali e le operazioni di ANALYZE, aumentando ulteriormente le prestazioni complessive.

L’esecuzione delle query vede notevoli miglioramenti, in particolare per le query con clausole IN che utilizzano indici B-tree. La release introduce anche build parallele per gli indici BRIN e incorpora il supporto SIMD (Single Instruction/Multiple Data) per accelerare alcuni calcoli.

Per gli sviluppatori, PostgreSQL 17 espande le sue capacità JSON con l’aggiunta di JSON_TABLE, che consente la conversione di dati JSON in tabelle PostgreSQL standard. La release introduce anche costruttori e funzioni di query SQL/JSON, garantendo una maggiore flessibilità nella gestione dei dati JSON.

Il caricamento in blocco e l’esportazione dei dati ricevono un incremento delle prestazioni, con il comando COPY che raggiunge il doppio della velocità per l’esportazione di righe di grandi dimensioni. Una nuova opzione ON_ERROR consente di continuare le importazioni anche in caso di errori di inserimento, migliorando i processi di migrazione dei dati.

La replica logica, fondamentale per lo streaming dei dati in tempo reale, viene migliorata in modo significativo. Gli utenti possono ora eseguire aggiornamenti di versione importanti senza abbandonare gli slot di replica logica, semplificando il processo di aggiornamento. L’introduzione del controllo di failover per la replica logica migliora la resilienza negli ambienti ad alta disponibilità.

Anche la sicurezza e la gestione operativa ricevono attenzione in questa release. Una nuova opzione TLS, sslnegotiation, supporta gli handshake TLS diretti utilizzando ALPN. L’aggiunta del ruolo predefinito pg_maintain garantisce agli utenti il permesso di eseguire operazioni di manutenzione senza l’accesso completo come superutente.

Le funzionalità di backup sono state ampliate con pg_basebackup che ora supporta backup incrementali, integrati dalla nuova utility pg_combinebackup per la ricostruzione di backup completi.

Le funzionalità di monitoraggio e analisi sono state migliorate, con EXPLAIN che ora mostra il tempo speso nelle operazioni di I/O locale e nuove opzioni per esaminare il tempo di conversione dei dati e l’utilizzo della memoria. La possibilità di monitorare l’avanzamento dell’aspirapolvere degli indici e una nuova vista di sistema per gli eventi di attesa della sessione forniscono una visione più approfondita delle operazioni del database.

La continua evoluzione di PostgreSQL riflette il suo status di database relazionale open-source preferito dalle organizzazioni di tutte le dimensioni. Con i suoi 25 anni di storia di sviluppo open-source e una comunità globale dedicata, PostgreSQL 17 rappresenta un ulteriore balzo in avanti nella tecnologia di gestione dei dati.

L'articolo PostgreSQL 17 fa fare un balzo in avanti ai database open-source proviene da Webbare.

Scoperti alcuni Pacchetti Python che utilizzavano il sideloading DLL per aggirare la sicurezza

admin — Wed, 21 Feb 2024 14:12:49 +0000

I ricercatori di ReversingLabs hanno scoperto dei pacchetti Python che utilizzano il sideloading di DLL per aggirare gli strumenti di sicurezza.

Il 10 gennaio 2024, Karlo Zanki, un reverse engineer di ReversingLabs, si è imbattuto in due pacchetti sospetti sul Python Package Index (PyPI). Questi pacchetti, denominati NP6HelperHttptest e NP6HelperHttper, sono risultati utilizzare il sideloading di DLL, una tecnica nota utilizzata da attori malintenzionati per eseguire codice in modo discreto ed eludere il rilevamento da parte degli strumenti di sicurezza.

Questa scoperta sottolinea l’espansione del panorama delle minacce all’interno delle catene di fornitura del software, con attori malintenzionati che sfruttano le vulnerabilità negli ecosistemi open-source. L’incidente evidenzia le sfide che gli sviluppatori devono affrontare per verificare la qualità e l’autenticità dei moduli open-source, in un panorama vasto e in continua evoluzione di codice disponibile.

I pacchetti dannosi, camuffati con nomi molto simili a quelli legittimi, miravano a ingannare gli sviluppatori e a farli incorporare inconsapevolmente nei loro progetti. Questa tattica, nota come typosquatting, è solo uno dei tanti metodi utilizzati dagli aggressori per infiltrarsi nelle catene di fornitura del software legittimo.

Ulteriori indagini hanno rivelato che i pacchetti dannosi hanno preso di mira i pacchetti PyPI esistenti, NP6HelperHttp e NP6HelperConfig, originariamente pubblicati da un utente chiamato NP6. Mentre NP6 è associato a Chapvision, un’azienda di automazione del marketing, l’account PyPI in questione era collegato a un account personale di uno sviluppatore di Chapvision. La scoperta ha spinto Chapvision a confermare la legittimità degli strumenti di aiuto e a rimuovere successivamente i pacchetti dannosi da PyPI.

L’analisi dei pacchetti dannosi ha rivelato un approccio sofisticato, in cui uno script setup.py è stato utilizzato per scaricare sia i file legittimi che quelli dannosi. In particolare, la DLL dannosa – dgdeskband64.dll – è stata creata per sfruttare il sideloading delle DLL, una tecnica comunemente utilizzata dai criminali informatici per caricare codice dannoso eludendo il rilevamento.

Un ulteriore esame ha rivelato una campagna più ampia, con altri campioni che presentano caratteristiche simili. La piattaforma Titanium di ReversingLabs, utilizzando YARA Retro Hunt, ha identificato campioni correlati che indicano uno sforzo coordinato da parte degli attori delle minacce.

Il codice dannoso, incorporato nella DLL, utilizzava un gestore di eccezioni per eseguire shellcode, stabilendo una connessione con un server esterno per scaricare ed eseguire payload. L’indagine ha inoltre portato alla luce tracce di Cobalt Strike Beacon, uno strumento di sicurezza del Red Team riutilizzato dagli attori delle minacce per attività dannose.

Questa scoperta sottolinea la crescente sofisticazione degli attori maligni che sfruttano le infrastrutture open-source per le loro campagne. Evidenzia l’urgente necessità per gli sviluppatori e le organizzazioni di fortificare le loro catene di fornitura del software contro tali attacchi, sottolineando le misure proattive per garantire l’integrità e la sicurezza dei loro repository di codice.

L'articolo Scoperti alcuni Pacchetti Python che utilizzavano il sideloading DLL per aggirare la sicurezza proviene da Webbare.

L’open source ottiene concessioni nella nuova legge europea sulla cibernetica

admin — Wed, 17 Jan 2024 13:04:08 +0000

La legge europea sulla resilienza informatica (CRA) è stata sottoposta a revisioni sostanziali, portando sollievo alla comunità open-source.

Ad aprile, la Python Software Foundation (PSF) aveva espresso preoccupazione per le potenziali ripercussioni su CPython e PyPI in caso di applicazione della versione iniziale del CRA.

La preoccupazione principale era che, nel corso della fornitura di software open-source, la PSF e la comunità Python potessero assumersi la responsabilità legale per i problemi di sicurezza dei prodotti realizzati utilizzando i componenti di codice che mettono a disposizione gratuitamente. In cerca di chiarezza, il PSF ha chiesto un linguaggio che esentasse i repository di software pubblico – come PyPI – dalle responsabilità legali.

La buona notizia è che il testo finale del CRA, approvato il 1° dicembre, introduce il concetto di “amministratore dell’open source”. Questo termine si riferisce a qualsiasi entità legale che si dedichi a fornire un supporto duraturo allo sviluppo di prodotti specifici con elementi qualificati di software libero e open source, garantendone la fattibilità per le attività commerciali.

Il testo rivisto dimostra una comprensione più chiara del funzionamento del software open-source e del suo valore all’interno del più ampio ecosistema di sviluppo del software. Il testo afferma esplicitamente che la fornitura di prodotti software liberi e open-source senza monetizzazione non è considerata un’attività commerciale.

Sebbene questo rappresenti un passo avanti positivo, la comunità Python rimane vigile. La nozione di “amministratore dell’open source” è un concetto nuovo nella legislazione europea, che richiede un monitoraggio per garantire che la sua attuazione sia in linea con gli intenti e le realtà dello sviluppo open-source. Inoltre, è necessaria un’attenzione costante perché altri provvedimenti legislativi, come la direttiva sulla responsabilità dei prodotti, possono avere un impatto sull’ecosistema Python.

Il PSF ha ringraziato Open Forum Europe (OFE) – in particolare Ciarán O’Riordan – per aver facilitato la collaborazione all’interno della comunità FOSS. Secondo il PSF, gli sforzi di coordinamento dell’OFE hanno svolto un ruolo cruciale nel garantire che le sue preoccupazioni fossero comunicate efficacemente ai legislatori.

L'articolo L’open source ottiene concessioni nella nuova legge europea sulla cibernetica proviene da Webbare.

GitHub lancia l’Innovation Graph per approfondimenti interattivi sullo sviluppo

admin — Wed, 27 Sep 2023 12:31:11 +0000

GitHub ha presentato il suo Innovation Graph, una piattaforma di dati aperti e approfondimenti per misurare e comprendere l’impatto globale degli sviluppatori.

L’ambiziosa iniziativa mira a risolvere una sfida di lunga data affrontata da politici e ricercatori: la mancanza di dati affidabili e completi sulle tendenze dello sviluppo del software.

L’Innovation Graph è un archivio di metriche longitudinali che tracciano lo sviluppo del software nelle economie di tutto il mondo. Questa straordinaria risorsa, lanciata con una pagina web e un archivio dedicati, offre un tesoro di dati che risalgono al 2020.

Questa ricchezza di informazioni comprende aggiornamenti trimestrali sui passaggi a Git, statistiche sugli sviluppatori, approfondimenti sulle organizzazioni, dettagli sui repository, preferenze linguistiche, dati sulle licenze, argomenti di tendenza e collaborazioni all’interno dell’economia globale.

GitHub ha anche reso questi dati disponibili per il download, con licenza CC0 1.0.

GitHub prevede che l’Innovation Graph servirà un pubblico eterogeneo, tra cui ricercatori, responsabili politici e sviluppatori.

Uno studio commissionato da GitHub ha evidenziato il notevole interesse per i dati di GitHub nei settori dello sviluppo internazionale, delle politiche pubbliche e dell’economia. Tuttavia, lo studio ha rivelato che l’accesso e l’utilizzo di questi dati è stato irto di difficoltà.

L’Innovation Graph mira a rimuovere queste barriere e a democratizzare l’accesso a dati preziosi. Questa iniziativa è destinata a favorire i ricercatori di vari settori, offrendo loro dati aggregati che in precedenza erano inaccessibili o richiedevano l’intervento di fornitori di dati terzi.

Knut Blind del Fraunhofer ISI ha sottolineato l’importanza dei dati di GitHub, affermando che:

“I dati sui contributi a GitHub sono stati essenziali per valutare l’impatto dell’open source per l’Unione Europea nel nostro rapporto per conto della DG Connect della Commissione Europea e nei documenti successivi”.

L’impegno di GitHub nel fornire questi dati cruciali faciliterà senza dubbio gli studi empirici sull’impatto economico globale dell’open source.

Per gli sviluppatori, il GitHub Innovation Graph promette di fornire un contesto più ampio per i loro contributi, consentendo loro di esplorare il modo in cui gli sviluppatori collaborano su scala globale e l’andamento dei loro linguaggi di programmazione e argomenti preferiti a livello mondiale. Questa visione contestuale potrebbe essere preziosa per gli sviluppatori che cercano di allineare i loro contributi alle tendenze più ampie del settore.

Dal punto di vista dei politici, la mossa di GitHub è in linea con gli obiettivi di promuovere la trasformazione digitale e le opportunità di lavoro ben retribuite. Le ricerche suggeriscono che i contributi open-source su GitHub sono correlati a un aumento dell’innovazione e a una sostanziale crescita economica.

Con un accesso più facile ai dati, i ricercatori possono produrre studi più convincenti, che potenzialmente possono portare a politiche che favoriscono le opportunità degli sviluppatori e contribuiscono alla crescita economica globale.

La decisione di GitHub di rilasciare l’Innovation Graph come risorsa di dati per l’uso della comunità apre un mondo di possibilità. Sviluppatori, ricercatori e appassionati di dati possono ora esplorare le tendenze, condurre ricerche, creare visualizzazioni accattivanti e mostrare come i loro contributi si inseriscono in un panorama più ampio.

L’impegno di GitHub per il miglioramento continuo è evidente nella richiesta di feedback da parte degli utenti. GitHub incoraggia gli utenti ad aprire problemi nel repository, dimostrando il proprio impegno a migliorare l’utilità dell’Innovation Graph come strumento per dimostrare l’impatto globale della collaborazione tra sviluppatori.

Nei prossimi mesi, GitHub prevede di rilasciare altri rapporti di approfondimento su argomenti di interesse per la comunità degli sviluppatori, i responsabili politici e i ricercatori.

L'articolo GitHub lancia l’Innovation Graph per approfondimenti interattivi sullo sviluppo proviene da Webbare.

Il creatore di Ruby on Rails denuncia il “teppismo open-source”

admin — Wed, 20 Sep 2023 12:16:12 +0000

Il creatore di Ruby on Rails David Heinemeier Hansson ha espresso le sue preoccupazioni per quello che ha definito “teppismo open-source”.

Hansson ha raccontato un recente incidente che ha coinvolto la comunità di TypeScript e la sua reazione a una decisione presa dal team di Turbo.

Hansson ha esordito riconoscendo la passione che molti sviluppatori hanno per i loro linguaggi e strumenti di programmazione preferiti. Ha osservato che l’entusiasmo mostrato da questi individui testimonia la loro dedizione all’arte dello sviluppo del software.

Tuttavia, ha avvertito che esiste una linea sottile tra l’essere un sostenitore appassionato e diventare un crociato dogmatico.

L’incidente specifico a cui Hansson fa riferimento riguarda la decisione del team di Turbo di abbandonare TypeScript dal proprio progetto.

Mentre alcuni individui con legittime preoccupazioni e competenze tecniche hanno sollevato obiezioni, la maggior parte del dibattito è stata dominata da quelli che Hansson ha definito “hooligan dell’open-source”. Si trattava di persone che non avevano alcun interesse diretto nel progetto Turbo, ma che difendevano strenuamente TypeScript e attaccavano coloro che non erano d’accordo con loro.

Hansson ha descritto nei dettagli l’assurdità della situazione, citando numerose richieste di pull che chiedevano la reintegrazione di TypeScript in Turbo e persino una questione che chiedeva la sua rimozione dal progetto. Ha descritto il comportamento come “teppismo open-source senza freni” e ha espresso il suo disappunto per il modo in cui alcuni membri della comunità TypeScript hanno reagito.

Sebbene i dibattiti appassionati sulla tecnologia non siano nuovi, Hansson ritiene che questo particolare incidente abbia superato il limite e non rappresenti un discorso costruttivo.

Sono stati fatti dei paralleli con i dibattiti del passato nella comunità tecnologica, come le leggendarie battaglie tra Sony PlayStation e Sega Saturn, ma Hansson ha sottolineato che il deturpamento dei repository open-source e il comportamento diffamatorio sono sempre inaccettabili.

Hansson ha invitato coloro che hanno veramente a cuore TypeScript a riflettere sull’incidente e a considerare se questo comportamento sia un modo adeguato per promuovere la loro tecnologia preferita. Ha incoraggiato gli appassionati a trovare modi più costruttivi per esprimere il loro entusiasmo senza ricorrere ad attacchi personali o alla deturpazione di progetti open-source.

I commenti di Hansson servono a ricordare che, sebbene i dibattiti sulla tecnologia siano inevitabili, mantenere la professionalità e il rispetto per le opinioni diverse è essenziale per una sana cultura open-source.

L'articolo Il creatore di Ruby on Rails denuncia il “teppismo open-source” proviene da Webbare.

Sonatype scopre altri pacchetti PyPI e npm dannosi

admin — Wed, 28 Jun 2023 12:51:39 +0000

Sonatype continua a scoprire un numero significativo di pacchetti dannosi all’interno dei registri software PyPI e npm.

Tra i pacchetti segnalati ci sono diversi pacchetti Python pubblicati su PyPI, mascherati da librerie legittime che prendono il nome dalla popolare libreria “colors” di npm.

I pacchetti dannosi, che includono nomi come “broke-rcl”, “brokescolors” e “trexcolors”, erano destinati esclusivamente al sistema operativo Windows. Una volta installati, questi pacchetti avviavano il download e l’esecuzione di un trojan ospitato sui server di Discord.

Sonatype ha prontamente segnalato queste scoperte a PyPI, ottenendo la rimozione dei pacchetti dannosi e dell’account utente associato.

Un altro pacchetto dannoso, “trexcolors”, che prende il nome dalla libreria npm “colors”, è stato scoperto scaricare ed eseguire un trojan noto come “trex.exe” al momento dell’installazione.

Questo trojan, rilevato da VirusTotal, funziona come ruba-informazioni e incorpora tecniche di evasione per impedire l’analisi e gli sforzi di reverse engineering.

Malware multipiattaforma: Libiobe

Oltre ai pacchetti sopra citati, Sonatype ha identificato un pacchetto PyPI denominato “libiobe”, probabilmente ispirato alla libreria legittima “iobes”.

A differenza dei pacchetti specifici per Windows, “libiobe” mirava sia ai sistemi operativi Windows che Unix.

Su Windows, il pacchetto distribuiva un eseguibile infetto da trojan, denominato “V0d220823bb829d3fcc62d10adf.exe”, nascosto nel codice sorgente come stringa codificata in base64.

Sui sistemi Linux/Unix, invece, è stato eseguito un codice Python minificato, anch’esso codificato in base64, che ha inviato dati di fingerprinting del sistema a un endpoint Telegram.

Codice offuscato: FNBOT2, TAGADAY e ZUPPA

Oltre ai pacchetti PyPI e npm che imitano la libreria “colors”, l’analisi di Sonatype ha rivelato codice offuscato nei pacchetti denominati FNBOT2, TAGADAY e ZUPPA.

Questi pacchetti utilizzano uno schema simile a quello osservato in precedenti casi di attacchi cryptominer, utilizzando sei variabili denominate magia, amore, dio, destino, gioia e fiducia.

La tecnica di offuscamento utilizzata è comunemente facilitata da strumenti online, come quello fornito da development-tools.net.

La scoperta di questi pacchetti dannosi da parte di Sonatype mette in evidenza le minacce persistenti che devono affrontare i registri di software open-source come PyPI e npm. Anche se i pacchetti identificati non introducono nuovi payload o tattiche, servono a ricordare i continui tentativi di sfruttare le vulnerabilità negli ecosistemi open-source da parte di attori malintenzionati.

L'articolo Sonatype scopre altri pacchetti PyPI e npm dannosi proviene da Webbare.