Anthropic : Claude détourné pour miner 1,8 million d’APK Android

Technique · Atelier

io_uring : handoff d’identité de thread quand l’issue inline bloque

RFC de Jens Axboe (LKML, 11 septembre 2026, contre 7.3-rc2) : 15 patches pour émettre inline, en mode bloquant, les opcodes sans chemin nonbloquant (fsync, statx, openat, *at, xattr, fadvise, splice…), et ne payer l’offload io-wq que si la requête bloque vraiment — en déplaçant l’identité userspace, pas la stack.

Le goulot. Aujourd’hui, io_uring tente IO_URING_F_NONBLOCK puis punte vers io-wq. Pour toute une famille d’opcodes, il n’existe pas de chemin nonbloquant : le punt est systématique (wakeup thread, changement de contexte, aller-retour task_work), même quand fdatasync ne bloque pas, statx touche le dcache, ou openat O_TMPFILE réussit inline. Le coût est payé à chaque requête « au cas où ».

Le levier. On émet ces requêtes inline en mode bloquant. Si le submitter bloque profondément dans le noyau (requête sur sa stack), on ne peut plus migrer le travail : on migre l’identité. Un worker io-wq idle reprend tid, état signaux, credentials, attributs d’ordonnancement, cgroup et registres userspace ; il termine io_uring_enter() et revient en userspace comme le submitter. La tâche d’origine finit la requête comme worker et rejoint le pool. Hook sched : flag PF_IO_HANDOFF, appel depuis sched_submit_work() vers io_uring_task_sleeping(), avec uring_lock encore tenu par le bloqueur puis relâché pour le worker promu. Noyau générique dans kernel/thread_handoff.c ; arch x86-64 et arm64 (refus AMX / SME) ; plug block layer gardé sur la stack du submitter d’origine.

Garanties (et non-garanties). Userspace voit le même tid revenir du syscall, sur un autre task_struct. Refusés d’emblée : tâches tracées, perf per-task, PI futexes, audit, timers CPU per-thread armés, cookies core-scheduling, parents vfork. Ne migrent pas : état LSM collé à la task (pas au cred), PR_SET_IO_FLUSHER. Exclus aussi : lectures/écritures FMODE_NOWAIT (déjà nonbloquant + poll) et uring_cmd (ublk lie l’état au submitter). Perf virtme-ng : fsync tmpfs qd1 +681 % ops/s ; pertes aux hauts QD ou quand l’op bloque toujours (fsync ext4) — d’où le caractère RFC.

Leçon Atelier. Quand le travail est collé à la stack du caller, on ne peut pas « déplacer le job » : on déplace ce que userspace observe (identité), et on laisse le corps bloqué finir ailleurs. Motif userspace classique : un pool de workers qui doit préserver l’identité de la requête (auth, quotas, cancelation) sans copier toute la stack — handoff d’identité plutôt que bounce systématique. Tant que le contrat « même tid, même vue » tient, le runtime peut changer de corps.

Sources : LKML, [RFC PATCH 00/15] io_uring: thread identity handoff (Jens Axboe), 11.09.2026