PamStealer: Korszerű tolvaj alkalmazás a macOS rendszereken is
(július 29.)
A közelmúlt kártékony alkalmazás felfedezése, a PamStealer nem a klasszikus amatőr próbálkozás, ami csak a teljesen gyanútlan és járatlan felhasználókat veri át, hanem valami egészen okosan alkalmazkodó megfejtés a macOS teljesen haszontalan, a felhasználókat inkább idegesítő, mint megvédő megoldásainak kikerülésére.
Az Apple úgy gondolta néhány évvel ezelőtt, hogy azzal mutatja a magánélet és az adatok védelmének képességét, hogy a rendszer olyan esetekben is figyelmeztet, amikor az teljesen értelmetlen: például letöltünk egy kamera alkalmazást az iOS rendszerre, majd az indításkor engedélyezni kell, hogy az hozzáférjen a kamerához… Mert azzal, hogy letöltöttük a felhasználói fiókadataink megadásával az App Store-ból, nem ráutaló magatartás arra, hogy elfogadjuk, hogy a kamera alkalmazás használni fogja a kameránkat… Mivel a rendszerben sok-sok ilyen jelenik meg, és ezeket nem értelmesen kezeli a rendszer, mint régen, hanem folyton engedélykérésekkel zaklat, pont azt érték el, hogy az emberek többsége rögtön leokézza az ilyen párbeszédablakokat, vagyis engedélyez jóformán bármit, mert tisztában van vele, hogy valami felesleges szamárságot kérdez a rendszer.
A PamStealer ezen körülményeket aknázza ki, és miközben egy kattintható .scpt fájlt használ csaliként, amely meghív egy JXA telepítőt és egy Rust-alapú második lépést, amely aztán PAM-on (Pluggable Authentication Modules) keresztül hitelesítő adatokat ellenőriz, hogy aztán jelszavakat gyűjtsön be. Az AppleScript a háttérben JavaScript for Automation (JXA) letöltőt indít el, amely aztán letölti magát a kártékony tartalmat, vagyis az ártalmatlannak tűnő program futás közben tölti le magát a kórokozót. A megoldás olyan trükköket is alkalmaz, mint a Mac meghajtójához való hozzáférés engedélykérése: ezt nem az indítás után kéri, hanem vár akár 40 percet, hogy a felhasználó ne lásson összefüggést az elindított idegen alkalmazás tevékenysége és a lemezhez való hozzáférés jelszóval való jóváhagyása között. Mivel a macOS amúgy is számos olyan folyamathoz kér a használat közben hozzáférést, amelyről még a rutinos felhasználók is csak kutatást követően tudják, hogy micsoda, így a tipikus jelenség az, hogy jóváhagyják a kérést, és onnantól kezdve szabad az út a PamStealer számára.
Ahogyan számos más adatrabló alkalmazás, a PamStealer sem a rendszer gyengeségét használja, hiszen a macOS biztonságos. Ezek mind-mind a felhasználó éberségének szüneteit igyekeznek kiaknázni: egy emailben küldött csatolmány, .img formátumú árajánlat kérés, meg nem nyíló kép, aminek általános fehér ikonja van, vagy éppen valami weblapról letöltött, másnak álcázott tartalom potenciális veszélyforrást jelent.
Az Apple kvázi hibája ezzel kapcsolatban, hogy azáltal, hogy a becsületes alkalmazások sima működéséhez is felesleges engedélykérésekkel zaklatja a felhasználókat, csökkenti az éberséget a ténylegesen fontos engedélykérések jóváhagyásának megfontolásával kapcsolatosan.
Az Ars Technica foglalkozik részletesen a malware-rel…
Ed Zitron rávilágított az AI világ ellentmondásaira
(július 28.)
Aki a cabrióval száguldozó macskák, a szürreális kebelszerkezetű, vegytisztán agy nélkül megálmodott hölgyek vagy éppen a különféle filmekbe más művekből beszerkesztett, mindent megoldó akcióhősök keltette látványvilág és poénok után pár percig elfordul a képernyőtől, és elgondolkodik azon, hogy ennek milyen erőforrás vonzata és annak milyen költsége lehet, az hamar eljut arra a felismerésre, hogy egy, az eredetileg gondolt méreténél jóval nagyobb léggömbről van szó, amely napról napra közelebb kerül a harsány kipukkanáshoz. 
Az egyik jó példa erre az OpenAI, amely 13,07 milliárd dolláros forgalom mellett 20,9 milliárd dollár veszteséget termelt 2025-ben. De Elon Musk másik mesterséges intelligencia „gyermeke”, az xAI számai sem jobbak: 107 millió dolláros forgalom mellett 1,46 milliárd dollár veszteséget könyvelt el az első negyedévben. (Musk azzal érvel, hogy maga az üzemeltetés nyereséges, de a hardver beruházások igényei okán veszteség termelődik - igen ám, de hardver nélkül nincsen szolgáltatás, tehát nem egyszerű ezt külön választani. Egy étterem sem a nyersanyagok beszerzési ára és az étlapon szereplő ár különbségének ragyogó profitjával üzemel, hanem számos egyéb költséggel, amely árnyalja a képet.)
A remek marketing nevű Ed Zitron (Where’s Your Ed At hírlevél, Better Offline podcast) most konkrét számokkal vezette le, hogy a mesterséges intelligencia iparág a jelen formájában addig működik, amíg a körbetartozások befektetések ciklusában minden fél érdekelt marad, vagy valamelyik szereplő idő előtti bedőlése magával nem rántja a teljes szegmenst.
Ő így vélekedik: „A nagy nyelvi modellek költségei lényegében ellentétesek a szoftverértékesítés gyakorlatilag minden modelljével. A fogyasztókat és a vállalkozásokat egyaránt arra idomítják, hogy havi díjat fizessenek egy szolgáltatásért, és bár ezeknek a szolgáltatásoknak lehetnek korlátai, alapvetően senki, aki szoftvert vásárol, nem számít arra, hogy mért szolgáltatást kap, nemhogy olyat, amely egyszerre mért és nehezen mérhető költségekkel jár. Az LLM-ek, azaz nagy nyelvi modulok milliós arányban égetik el a tokeneket, függetlenül attól, hogy megkapjuk-e a kívánt választ, vagy hogy elvégzi-e, amit kérünk tőle. (…) A mesterséges intelligencia fejlesztői tudták, hogy a fogyasztók soha nem fogják kifizetni a mesterséges intelligencia szolgáltatásaik tényleges költségét, ezért többnyire havi előfizetéseket adtak el nekik homályos díjkorlátokkal, amelyek lehetővé teszik számukra, hogy sokkal többet égessenek el tokenekben, mint amennyibe az előfizetésük kerül. A SemiAnalysis megállapította, hogy egy havi 20 dolláros előfizetéssel több száz dollárt, egy havi 200 dolláros előfizetéssel pedig több ezer dollárt lehet elkölteni”, azaz ténylegesen jóval nagyobb üzemelési költséget lehet igénybe venni, mint amit az előfizetés fedez. Ezáltal a nagyobb számú előfizető nem csak több bevételt, de nagyobb költségeket is generál. Ez az oka a ChatGPT keltette tetemes veszteségnek, és ezért nem a szolgáltatás elterjedését, hanem az előfizetői adatok, szokások értékesítése nyomán lehetővé tett célzott hirdetésben rejlő pénzügyi lehetőséget tekinti az OpenAI is a majdani nyereség kulcsának.
A SemiAnalysis ábrája alapján például a ChatGPT Plus előfizetéssel 20 dollárért akár 700 dollárnyi költséget lehet generálni, hiszen annyi feladatot lehet elvégeztetni a háttérben futó számítógépekkel.
Egyúttal az is megjelent trendként, hogy egyes szolgáltatók elkezdtek - elsőként persze csak a nagyvállalati ügyfeleiknek - token alapon számlázni, vagyis az alapján kérni a havi előfizetési díjakat, hogy az igénybe vett szolgáltatás mennyi erőforrást használt. Ez számos nagy cégnél kiütötte a biztosítékot, hiszen például a sofőrök kizsákmányolásából élő Uber arról panaszkodott, hogy az éves költségkeretüket sikerült egy negyedév alatt elkölteniük ilyen formában. A saját hardverekkel nem vagy csak korlátozottan bíró vállalkozások, mint a Perplexity, a Cursor, a GitHub vagy a Copilot annak ellenére veszteséges maradt, hogy áttért a token alapú számlázásra, hiszen a mögöttük álló szolgáltatások is ilyen formán kérik be a díjaikat. (A mögöttük állók tipikusan az OpenAI és az Anthropic, amely az AI bevételek 89%-át szedi be.)
„Aztán ott vannak az adatközpontok. Egy mesterséges intelligenciát működtető adatközpont felépítése nagyon-nagyon drága, 18-36 hónapig tart, és dollármilliárdokba kerül, ami gyakorlatilag azt jelenti, hogy bárki, aki épít egyet, eladósodik, és csak akkor kapja meg a pénzét, ha egy ügyfél beköltözik... Igen ám, de az Anthropic és az OpenAI cégeken kívül valójában nincsenek ügyfelei a mesterséges intelligenciát működtető adatközpontoknak, ez a két ügyfél pedig annyira veszteséges, hogy több százmilliárd dollárt kellett bevonniuk a beruházásokba. Aztán ott vannak az adatközpontok. Egy mesterséges intelligenciával működő adatközpont felépítése nagyon-nagyon drága, 18-36 hónapig tart, és dollármilliárdokba kerül, ami gyakorlatilag azt jelenti, hogy bárki, aki épít egyet, eladósodik, és csak akkor kapja meg a pénzét, ha egy ügyfél beköltözik... kivéve, hogy az Anthropic és az OpenAI-n kívül valójában nincsenek ügyfelei a mesterséges intelligenciával működő adatközpontoknak, amelyek mindkettő annyira veszteséges, hogy több százmilliárd dollárt kellett bevonniuk, még akkor is, amikor a Microsoft, a Google és az Amazon kiépítette az összes infrastruktúrájukat. Az egyetlen ok, amiért senki sem aggódik emiatt, az az, hogy a mesterséges intelligenciával kapcsolatos részvények jól teljesítettek” a nehezen átlátható bevételi és költség struktúrák ellenére.
Amikor a beszélgetés során felmerül a kérdés, hogy mégis mi lesz akkor, ha tényleg eljön az igazság pillanata, és ez az egész összedől, akkor Ed Zitron ijesztő, de kevés újszerűséget vet fel. „Számos magánhitelalap fog bedőlni, mert ők finanszírozzák az adatközpontokat, és olyan nyugdíjalapok pénzét helyezik ki, mint az SF tanári alap vagy a CalPERS, ami nagyon-nagyon aggaszt a rendszerszintű fertőzés miatt.” (A CalPERS Kalifornia állam nyugdíjalapja, amely az önkéntes megtakarításokat hivatott hizlalni jó befektetésekkel. Az ilyen alapok egy jó része füstölte el az amerikai középosztály pénzét a 2008-as váltság idején.)
Ed Zitron szerint a kijózanodás kőkemény lesz, hiszen mára a tajvani és koreai hardver gyártóktól kezdve a mögöttük álló tulajdonosokon át mindenki befektetője annak a lufinak, ami évről évre dollár tízmilliárdokat éget el, és ezeket a szereplőket mind meg fogja ütni, ha a buborék kidurran, és tényszerűen elveszik az a pénz, ami most még virtuálisan legalább létezik. (Példaként az Oracle céget említi, amely 340 milliárd dollárral „tett téteket” az adatközpontokra, ám ha 2030-ig az OpenAI nem fordul nyereségbe, az Oracle kifogy a pénzéből.)
A kiadások fedezésébe persze bevonják a fogyasztókat is: a közelmúltban drágábbá tett Mac gépek, iPad modellek vagy HomePod hangszórók mind-mind ebbe a feneketlen kútba bedobott összegek. Zitron szerint 2022. óta nagyjából 1 billió dollár ment el olyan kiadásokra, amelyek a mesterséges intelligencia hardver oldalát támasztják meg, és ez alapján 1,5 billió dollárnyi új profitra lenne szükség ahhoz, hogy ezek a beruházások racionalizálhatóak legyenek. Vagyis nem milliárdokról van szó, hanem azok ezerszereséről. „És igen, mindannyian többet fizetünk dolgokért gyakorlatilag minden ok nélkül, csak azért, mert a nagy technológiai cégeknél mindenki megőrült, és annyi adatközpontot akar építeni, amennyit csak lehet.”
„Azt hiszem, az Apple Intelligence volt a legrosszabb és a legjobb dolog is, ami az Apple-lel történt az MI-buborék szempontjából. (…) Alig költött valamit beruházásokra. Alig csináltak valamit a mesterséges intelligenciával. Annak ellenére, hogy címsorról címre azt állítják, hogy "lemaradnak", senki sem tudja igazán megmagyarázni, hogy miben maradnak le, vagy miért fontos ez.”
A Politico teljes interjúja Ed Zitron tartalomgyártóval…
MacRumors.com villáminterjú részletek Ed Zitron tartalomgyártóval…
Ed Zitron's Where's Your Ed At…
A Better Offline podcast…