@mtrainier2020
Account based inUnited States
About this account
- Account based in
- United States
- Connected via
- United States App Store
Account-level information from X, not a live location or the device used for a specific post.
Cogito, ergo sum
Seattle
Joined June 2019
- Tweets14K
- Following996
- Followers144K
- Likes8.6K
按理说，这种完全造假的硬件钱包，
没法通过软件端的认证啊。
所有的firmware都是签名的。
假的肯定没有官方签名啊。
如果软件是从官方下载的，
那么这种作假怎么能欺骗用户呢？
除非软件端也是假的。
或者完全没有软件端的。
软件端，Google play 和ios 的发布还是相对比较严格的。
而且可以看review数量，这个你假的app是没法刷到很高的。（vs code插件有人把恶意插件刷到很高，然后让人误以为正版）。
常见的调试分布式系统调试方法无非就是，调试环境（包括网络，主机、各种环境），
调试代码 （代码逻辑）
调试数据 （训练数据，权重）
环境可以采用替换，隔离，回滚，分片的方式来定位，修复。 我总能找到一个稳定出问题的环境性能找到一个稳定环境。不断分治，就能绕过问题，解决问题。
代码可以通过调试，可以通过回滚的方式定位问题。把随机问题，变成不随机。回滚到稳定版，LKG版总行吧。
数据，难很多，但也可以通过diff，发现端倪。
这货的破坏方式是通过黑客方式，破坏生成端的代码，无痕引入各种精心设计的恶意代码。
如果你让我查两三个月，
肯定查到怀疑人生。
上面到各种分治法毫无用处。
我对他们那些同事共情了。
突破口还是一个同事偶然发现pytorch loader的一段代码貌似有问题。再查访问记录，才发现他有嫌疑的。
然后在针对他的机器审核才发现大量恶意代码的。
才东窗事发的。
字节没有那么菜，他的同事们也不是傻子。
如果通过代码commit进去的，早就被发现了。
他这个大部分的破坏行为并不是通过commit的方式直接checkin的。而是直接登陆生产环境机器直接改本地代码的方式，或者利用pytorch 漏洞自己注入攻击代码方式来攻击的。是黑客行为。
这还有个CVE专门记录这个RCE 漏洞的。
CVE-2024-48063 是开源机器学习框架 PyTorch 的一个高危远程代码执行（RCE）漏洞，CVSS 评分为 9.8（最高等级危险）。 [1]
漏洞概述
•漏洞类型：反序列化远程代码执行 (RCE) / 缺乏鉴权机制
•成因：在 PyTorch 的分布式 RPC（远程过程调用）框架中，RemoteModule 在反序列化过程中没有对输入数据进行适当的验证或清理。攻击者可通过客户端将带有恶意方法的 RemoteModule 实例序列化并通过 RPC 发送到服务端，触发反序列化后可在服务端执行任意代码，可能干扰分布式训练集群。
•争议说明：部分意见认为，该行为属于 PyTorch 分布式计算的“预期设计”，但这在实际集群环境中带来了严重的未授权访问与代码执行隐患。
这小子利用这个漏洞，攻击了字节的训练集群。
所以，字节对他还行，没有起诉他破坏计算机系统罪。这个完全够的上，主观，恶意，破坏。
字节没有那么菜，他的同事们也不是傻子。
如果通过代码commit进去的，早就被发现了。
他这个大部分的破坏行为并不是通过commit的方式直接checkin的。而是直接登陆生产环境机器直接改本地代码的方式，或者利用pytorch 漏洞自己注入攻击代码方式来攻击的。是黑客行为。
这还有个CVE专门记录这个RCE 漏洞的。
CVE-2024-48063 是开源机器学习框架 PyTorch 的一个高危远程代码执行（RCE）漏洞，CVSS 评分为 9.8（最高等级危险）。 [1]
漏洞概述
•漏洞类型：反序列化远程代码执行 (RCE) / 缺乏鉴权机制
•成因：在 PyTorch 的分布式 RPC（远程过程调用）框架中，RemoteModule 在反序列化过程中没有对输入数据进行适当的验证或清理。攻击者可通过客户端将带有恶意方法的 RemoteModule 实例序列化并通过 RPC 发送到服务端，触发反序列化后可在服务端执行任意代码，可能干扰分布式训练集群。
•争议说明：部分意见认为，该行为属于 PyTorch 分布式计算的“预期设计”，但这在实际集群环境中带来了严重的未授权访问与代码执行隐患。
这小子利用这个漏洞，攻击了字节的训练集群。
所以，字节对他还行，没有起诉他破坏计算机系统罪。这个完全够的上，主观，恶意，破坏。
睡之前，看了公众号文章对实习生搞破坏的详细复盘，看的人血压升高。
这人太恶毒了。
这人技术不算差 ，但是品质方面极其恶毒。
各种破坏迷惑性非常强。
比如下面这个破坏，伪装成分布式网络问题 ，而且是随机的，间歇性发作的。
aka在你耗费大量计算资源之后，然后捅一刀。
这还是十几种不同破坏方式对一种。
我能想到调试人员在调试这些问题时候有多崩溃与绝望。
事情暴露后，字节同事没刀🔪他，
已经是很有素质了。
这太可恨了。
田柯宇对面的实习生A也回应了，指控的重点是：
他不只是搞破坏，还把破坏伪装成随机故障，自己再坐在排查会上，听大家查到了哪里，然后调整破坏方式。
团队以为是代码、机器或者训练方法出了问题，北京、上海、西雅图的同事轮流排查，折腾了一两个月，却一直找不到根源。
另一项新增指控是：他自己负责的项目，展示成果也涉嫌造假。 他当时负责公司的一个 VAR 文生图项目，用了上千张GPU，每周汇报进展，还放了一个演示模型让同事测试。
但对方称，演示里实际跑的是别人的开源模型 PixArt，不是他自己训练的模型。为了避免被相同提示词对比识破，还偷偷在用户输入前加了“City”。
而他真正训练的模型，效果远没有展示出来的那么好，后来团队不得不重新做。
破坏的目的上，按另一方文章暗示的逻辑，他是想让自己在内部项目竞争里赢：把别人的项目搞得做不出来，把自己的项目包装成做得很好，保住资源和地位。
他负责的是 VAR，后来公司重点推进 Goku，算力开始往 Goku 倾斜。如果 Goku 一直训练失败，而他的 VAR 每周都有“新成果”、演示效果又很好，管理层就可能觉得：还是田这条路线更有前途，应该继续给他资源。
mp.weixin.qq.com/s/U7r5lwRXq…
其实取决于你写的是什么代码。
如果如果是互联网相关的一些业务代码，前端代码，灰度发布，没问题的。
但是，对于安全相关的底层代码，关键infra代码，更新非常麻烦的firmware代码，内核代码，涉及生产安全的工控代码。
这学vibe归vibe，code review依然是非常重要的。因为一旦出错代价难以承受。
AI在这些领域能帮你增加效率，但是质量标准是没法降低的。还需要人去把握。
当然，现在也在相互渗透，让一个agent 改代码，另外几个review。一个专门查regression ，一个专门查安全问题，一个专门查逻辑。最后人在看一遍。
确保提效又不降低质量。
这个有一点不一样的地方。
传统的企业，跨进AI时代并不是说，我们引入了一台设备，改善了一个流程，而效率提高，省出了人手。
而AI时代，这是一个跳跃的过程。
在X上讨论AI，吐槽AI的大多数是AI的重度用户，这些人的比例在总人群中占1%豆多说了。
即便是在现在的传统IT 行业，AI渗透最深的软件开发行业，能大量高效率使用AI的人，都是很低的比例。
有个数据，某大厂，内部每月用到200美元token的员工只占20%左右。
在其他的行业，AI渗透的深度和速度，更低。
大量的员工不管你原来是什么背景的，都要学会和AI共存，利用好AI。
这好比一群羚羊需要跳跃山谷，有的羚羊跳过去了，有的羚羊没跳过去。
以后公司的规模会缩小，而剩下来的人，都是能利用AI实现效率倍增的人。
那些没有跳过AI峡谷的羚羊，或者不愿意跳的，你也没法逼着人家跳。
但是作为企业，并没有太多的选择。
市场要看质量，效率，与成本。
丰田的老规矩：改善省出的人手，不能拿去裁
日本博主“黔騎士”发了一条推文 nitter.cf/blackright0/status/210… ，核心观点是：AI 一提效就裁员的公司，员工再也不会主动琢磨怎么用好 AI。
他拿丰田举例。丰田当年把“改善”（Kaizen，一线员工持续提小建议、优化流程的做法）推广到海外时，讲师反复强调一条铁律：
“流程改善后工时减少了，也绝对不能因此裁人。”
因为如果提建议的结果是自己或同事丢了饭碗，现场就再也不会有人提建议。
他认为 AI 导入是同一个道理。效率一上去就砍人力成本，员工就会把用 AI 的好点子藏起来。
反过来，把省出的时间用来想更有意思的企划、多花时间陪客户、学新技能，现场才会越用越多。在他看来，能把公司文化往这个方向转的企业，才能在 AI 时代把一线的智慧收上来。
10月7日，美国司法部宣布，已向美国国际贸易法院起诉加利福尼亚州建材进口商Uni-Tile & Marble及其首席执行官，要求追缴约6790万美元未缴关税，并处以约2.225亿美元民事罚款，合计约2.9亿美元。
被告涉嫌将中国制造的建材经马来西亚转运，并在美国进口申报中将原产地填写为马来西亚，以规避中国商品适用的关税。
其中，约195票中国制造的木制橱柜及浴室柜被申报为马来西亚原产。美国海关与边境保护局（CBP）调查人员实地核查相关马来西亚企业后，未发现其开展相应制造活动的证据，并发现部分企业在人员、股东及注册地址方面存在关联。
2022年3月，CBP启动反规避调查。起诉书称，此后被告改用空壳公司作为进口记录上的进口商，继续办理相关货物申报。此外，案件还涉及低报货值、错误申报商品类别等行为，通过多个申报环节减少应缴关税。
这个事情，一共运了503柜。
货值其实不高，主要是浴室柜和橱柜是反倾销的。那么换算下来的关税会非常高。
他直接偷逃关税，6792万美元。差不多一个柜子12万美元的关税。差不多是3-4倍的货值。
然后再三倍罚款，2.25亿美元。
基本上公司破产，人可能也要坐牢。
何苦呢？
这个背后的根子就是国内几个网盘公司，点名的话，比如夸克。
利益链条是，国内的公司比如夸克为了获客，就会奖励各种拉新。
那么怎么拉新呢，就是这帮人把各种内容放到这种网盘上去，然后诱导你去打开。你没有账号，必然需要下载这种app，然后注册账号，下载内容。
然后她们就可以获得返现。
这些都是做地下流量的。
这些搞资料分享的人，一个月搞的多的，大几千有的。
所以真正要打掉这种，出版行业也该去起诉，这些网盘公司。
合法技术移民的路子正在被堵上。
留学生的OPT在被废除中。
切香肠一段段来。
工作的H1B到绿卡的路径，也在慢慢被切断。
即便是绿卡和公民们也不要太高兴。
传媒学中有个叫标签理论，Stereotyping /labeling，指媒介或社会群体用高度简化、概括化甚至符号化的方式，把某些特征强加给特定的人群、事件或现象，从而用“群体属性”代替“个体特性”。
现在，印度人的标签是H1b scammer，
中国人的标签是CCP spy。
很多sb们在拍手叫好，但是实际上就是以后别人一看到你这张脸，第一反应就是spy。
现在很多安全相关的岗位，在慢慢把华裔背景的清理出去。
然后是各种关键岗位，也会排斥华裔背景。
合法移民，技术移民给美国人讲他们的贡献，比如昨天有个amazon aws的 founder员工说当初他们90%都是h1b的员工在非常差的环境下把aws做出来了。
而下面白人们的回复是，有你们，没你们一样能够做出来，美国登月的时候，也没有H1B，现在H1B们现在应该打包回去了。
sb们的共识也是共识啊。
所以，集中营是能选上下铺吗？
喜欢喝酒的，欢迎到Woodinville，是Columbia Valley的酒庄核心区，
基本上可以对标Napa Valley吧。
这边有几百个大大小小的酒庄。
每到夏天，有很多音乐会。
有很多品酒的点。
各种口味的酒都有，红酒，威士忌，朗姆酒等等都有。
@WineWoodinville you should pay for this promotion. lol 🤣
酒这里面有好多有意思的生态。
我们原来隔壁的酒庄，一年也就一个月时间最忙，就是收葡萄🍇的时候。需要在非常短的时间内把葡萄收进来，清洗干净，然后进那个巨大的罐子里。
那段时间他们差不多24小时连轴转。
然后剩下的11个月就是卖卖酒。
我曾经跟他们聊，说，我帮你们在网上宣传宣传，帮你们做做电商？
他们说他们也想，但是现实不允许。
因为它们的产能是有限的。
比如一年就能做个10万瓶。你电商渠道卖多了，本地客户就无法满足了。
如果要扩产到20万瓶，那就需要更大的罐子，在收葡萄的季节收更多的葡萄🍇。
干更多的活。
他们觉得现在的生活已经很开心了。
不想给自己更大的压力，就这样吧。
还有专门给酒瓶印刷标签，这边有家企业，专门给这边的酒厂印酒标。一年产值上千万美元。毛利极高。
美国这边有很多很不一样的生态。