Akrites تحاول تصفية ضجيج تقارير ثغرات الذكاء الاصطناعي لمشرفي المصادر المفتوحة

تقارير الذكاء الاصطناعي تغرق المشرفين

يواجه مشرفو المصادر المفتوحة إغراقاً بتقارير ثغرات أمنية تنتجها أدوات الذكاء الاصطناعي، وهي غير دقيقة ومتكررة وتفتقر إلى التفاصيل اللازمة لكتابة تصحيح، وفقاً لما قاله CTO في Akrites ومهندس الأمن الرئيسي في مؤسسة أمن المصادر المفتوحة OpenSSF كريستوفر روبنسون ومهندسة الأمن في Linux Foundation للذكاء الاصطناعي والأنظمة الوكيلة لورا غوازيلي. وفي كلمة ألقاها في قمة المصادر المفتوحة أوروبا في براغ، قال روبنسون إن الذكاء الاصطناعي خفض حاجز الدخول لصيد الثغرات، مما أثار سيلًا من الفحوصات من قبل أشخاص بلا مؤهلات أمنية.

وكلاهما تحدث بعد عروض في مؤتمر مرتبط، حيث استخدم مدير أجهزة OpenSSF إدريان ماركوم مصطلح „vibe researching" على نحو ساخر نصف الجدية لوصف الاستخدام المتنامي للذكاء الاصطناعي في البحث عن الأخطاء. وقدر روبنسون أن مراجعة طلب سحب أمني واحد قد تستغرق مهندسًا ثماني ساعات. ووصف هذه التقارير بأنها مطولة لفظيًا وغير دقيقة على الإطلاق ومتحيطة نحو تجاوز المشكلة، بينما قالت غوازيلي إن النماذج غالبًا لا تدرك ضوابط الأمن الأوسع التي يمكن أن تجعل المشكلة المذكورة في التقرير غير ضارة.

طبقة الاستجابة الجماعية

Akrites، الذي أعلنته Linux Foundation في يونيو، يحاول أن يعمل كفريق استجابة جماعي لحوادث الأمن. يجمع تقارير الثغرات ويتحقق من النتائج وينسق التصحيحات مع مشرفي المستودعات الأصلية upstream. وقال روبنسون إن Akrites يستخدم الذكاء الاصطناعي لتقييم التقارير الواردة والبحث عن المكررات، بينما يضيف المهندسون المستقبلون الفحص البشري قبل أن تصل المواد إلى مشرفي المشروع.

ومن بين الأعضاء المؤسسين، وغيرهم، Anthropic وOpenAI وGoogle وMicrosoft وAWS وNVIDIA وCisco وIBM وRed Hat وCiti وJPMorganChase. وقال روبنسون إنه يتوقع من الأعضاء المساهمة بموارد هندسية، حتى 10 مهندسين بدوام كامل من كل طرف، بينما تقدم بعض المؤسسات المالية مزيدًا من المال بدلاً من ذلك، لأن سياساتها الداخلية لا تسمح لها بالمساهمة في upstream. وقدر عدد المهندسين المستقبليين بنحو 200 وقال إن الهدف هو جعل التقارير أكثر إيجازاً ووضوحًا، مع حالات اختبار وإثباتات للمفهوم وتصحيحات.

التمويل والملكية

Akrites ليس المسعى الوحيد لـ Linux Foundation الذي يستخدم الذكاء الاصطناعي لأمن المصادر المفتوحة. فـ OSS CRS، أو نظام التبرير الإلكتروني للمصادر المفتوحة، يطور أدوات قائمة على الذكاء الاصطناعي تساعد المشاريع على اكتشاف الثغرات وتوليد التصحيحات. وقالت غوازيلي إن الهدف ليس مجرد تأكيد الثغرة، بل تقديم أفضل تصحيح ممكن، حتى لا تدخل ثغرات جديدة ولا تتعطل الوظائف الحالية.

وقال روبنسون إن هذا العمل مكلف لأنه يتطلب قدرة حوسبة كبيرة ونماذج لغوية عملاقة LLM، وتشمل التكاليف البنية التحتية والرموز. وقال إن الأعضاء الشركاتيين يقدمون الدعم المالي وأكد أن مشرفي المصادر المفتوحة لا يتحملون التكاليف وحدهم. وفي ظل تراكم قائمة التقارير، قال إن المؤسسات التجارية يمكنها أخذ التصحيحات، لكن الإصلاحات يجب أن تصل إلى مشاريع upstream وألا تبقى معزولة.

المصادر: The New Stack