Kaksi juttua julkaistiin saman viikon aikana, ja useimmat lukevat ne erillään. Toinen käsittelee irtisanomisia. Toinen kertoo tietoturvatutkijasta, joka tutkii palvelinten emolevyjä. Yhdessä luettuina ne viittaavat urasiirtoon, joka saa nykyisessä tekoälytaitoja koskevassa keskustelussa lähes olemattomasti huomiota: siirtymiseen pinossa alaspäin, ei ylöspäin.

Sovelluskerros täyttyy — tarkoituksella

Metan siirtyminen agenttimaiseen koodaukseen, Muse Code, on huomionarvoista vähemmän sen taustalla olevan mallin kuin sen automatisoiman työnkulun vuoksi. Zuckerberg kuvaili sen haarautuvan ”erillisiin aliagentteihin, jotka työskentelevät rinnakkain eristetyissä työpuissa” ja väitti testiajon rakentaneen peliin samanaikaisesti kuusi ominaisuutta ilman törmäyksiä. Tämä on nykyään perusvaatimus: Anthropic, OpenAI ja joukko startup-yrityksiä tekevät jo saman asian eri versioita. Sovelluskerroksen koodin suunnittelusta, kirjoittamisesta ja validoinnista suurissa repositorioissa on tulossa hyödykeominaisuus, jonka useat toimittajat kilpailevat päästäkseen tarjoamaan ilmaiseksi tai edullisena pakettina.

Samaan aikaan Monday.com vähensi henkilöstöään noin 20 prosentilla — noin 600 ihmisellä — vedoten tuote- ja markkinoilletulostrategian ”muutokseen” liittyvään uudelleenjärjestelyyn. Se liittyi yli 20 yrityksen jatkuvasti kasvavaan listaan, jotka ovat tänä vuonna maininneet tekoälyn yhtenä vähennysten tekijänä. Kukaan ei voi sanoa täsmällisesti, kuinka paljon kyse on tekoälyn korvausvaikutuksesta ja kuinka paljon tekoälystä kätevänä ilmauksena SEC:lle tehdyssä ilmoituksessa. Mutta molemmissa jutuissa kehityksen suunta on sama: git-repositoriossa elävä, pull requestissa tarkistettava ja tavallisessa CI-putkessa ajettava koodi on juuri sitä koodia, jonka agenttimaisia työkaluja rakennetaan käsittelemään päästä päähän.

Mihin agentit eivät yllä

Sitten se toinen juttu. Tutkijat esittelivät tällä viikolla havaintoja, joiden mukaan tuhansiin suurten valmistajien internetiin yhteydessä oleviin palvelimiin voidaan päästä etänä takaoven kautta niiden baseboard management controllerien (BMC) ohjelmistovirheiden avulla — kyse on pienistä sulautetuista tietokoneista, joita on käytännössä jokaisella yrityspalvelimen emolevyllä ja joiden avulla ylläpitäjät voivat käynnistää koneen uudelleen, asentaa korjauksia tai luoda sen näköistiedoston uudelleen silloinkin, kun virta on katkaistu. Joidenkin näiden ohjainten käyttämän IPMI-protokollan taustalla olevien puutteiden on tiedetty olevan olemassa ainakin vuodesta 2013 lähtien. Tutkijat kutsuivat BMC-infrastruktuuria ”laajalle levinneeksi, puutteellisesti valvotuksi ja puutteellisesti paikattavaksi rinnakkaiseksi hyökkäyspinnaksi” — ei siksi, ettei riskin olemassaolosta tiedetty, vaan koska lähes kenelläkään ei ollut resursseja korjata sitä.

Siinä on asian ydin. Tämä ei ole sovelluskoodia. Se on laiteohjelmistoa, joka käyttää omaa käyttöjärjestelmäänsä ja verkkopinoaan ja joka on suurelta osin näkymätön niille työkaluille ja työnkuluille, joita agenttimaiseen koodaukseen tarkoitetut avustajat on optimoitu käyttämään. Suurta repositoriota vastaan pull requestia suunnittelevalla agentilla ei ole täällä mitään, mitä vasten suunnitella — ei repositoriota, testikokoelmaa eikä usein myöskään toimittajan kannustinta julkaista korjausta nopeasti, ja korjausprosessi kulkee laitevalmistajien kautta `git push` -komennon sijaan. Tärkeät taidot — sulautettu C, protokollatason virheenkorjaus, laiteohjelmiston käänteinen analyysi ja laitteistoläheinen tietoturvatutkimus — sijaitsevat pinon osassa, johon nykyisen sukupolven koodausagentteja ei ole rakennettu yltämään ja johon useimmat tekniikkaorganisaatiot ovat kroonisesti alisijoittaneet. Todisteena tästä ovat vuosikymmeniä vanhat tunnetut puutteet.

Varaus, suoraan sanottuna

Tämä ei ole kehotus jokaiselle kehittäjälle kouluttautua uudelleen laiteohjelmistoinsinööriksi — kyse on kapeasta markkinasta, eikä kysyntä vedä vertoja valtavirran ohjelmistoroolien kysynnälle. Väite on rajatumpi: jos nykyinen roolisi sijoittuu täsmälleen siihen pinon osaan, johon agenttimaiset työkalut ovat nopeimmin levittäytymässä — rutiininomaiseen sovelluskoodiin, joka on hyvin yhden repositorion sisällä ja hyvin testattu — on hyödyllistä tietää, että sen vieressä on alemman tason kerroksia, joihin automaation eturintama ei ole vielä saapunut, joissa tarvittavat taidot voi oppia ilman tietojenkäsittelytieteen tohtorintutkintoa ja joissa kysyntäsignaali (vuosikymmenen ajan paikkaamaton hyökkäyspinta, joka osoitettiin juuri julkisesti suuressa mittakaavassa) on poikkeuksellisen konkreettinen.

Mistä oikeasti aloittaa tässä kuussa

  • Lue ensisijainen tutkimus, älä pelkkää yhteenvetoa. Ars Technican juttu mainitsee protokollan (IPMI) ja laiteluokan (suurten palvelintoimittajien BMC:t) — siitä saat hakutermit toimittajien tiedotteiden ja CVE-historioiden etsimiseen.
  • Hanki käytännön kokemusta avoimen lähdekoodin BMC-pinosta. OpenBMC:n ja vastaavien avoimen lähdekoodin laiteohjelmistoprojektien avulla voit lukea ja muokata oikeaa BMC-koodia ilman palvelinkeskusta — viikonloppu riittää osoittamaan, kuinka erilaista tämä on verkko- tai sovelluskehitykseen verrattuna.
  • Muotoile ansioluettelosi sanasto uudelleen jo nyt, ennen uudelleenkouluttautumista. ”Out-of-band-hallinta”, ”lights-out-ylläpito” ja ”käyttöjärjestelmän alapuolinen hyökkäyspinta” ovat ilmauksia, joilla tämän alan tehtäviin rekrytoivat tiimit löytävät sinut. Niiden lisääminen ei maksa mitään, jos kokemuksesi liittyy aidosti siihen, mitä olet tehnyt.
  • Käsittele tätä hajauttamisena, älä suunnanmuutoksena. Jatka sovelluskoodin toimittamista — se muodostaa edelleen suurimman osan työmarkkinoista — mutta käytä harkittu osa oppimisbudjetistasi jossain, mihin agentti ei vielä pysty haarautumaan työpuuhun ja korjaamaan sitä puolestasi.