Apache üç gündə 230 repozitoriyanı AI ilə yoxladı

Apache Software Foundation (ASF) 2026-cı ilin avqustunda üç gün ərzində 230 repozitoriyasını tam təhlükəsizlik yoxlamasından keçirdi. İşi ASF Security və ASF Tooling komandaları Responsible AI Initiative (RAI) çərçivəsində, Anthropic-in Claude Mythos 5 modelini Project Glasswing proqramı üzərindən istifadə edərək gördü. Tapıntılar kodun sahibi layihələrə rəsmi açıqlama yolu ilə verildi və düzəlişlər davam edir.

Yoxlama niyə başladı

ASF Security, Alpha-Omega-nın iki ASF layihəsində apardığı Mythos əsaslı yoxlamaları təhlil etdi və hesabatları kifayət qədər konkret və ətraflı saydı. Eyni zamanda açıq kod layihələrinə gələn AI ilə yaradılmış zəiflik hesabatlarının həcmi artır, faydalını səs-küydən ayırmaq isə komandaların çətin tapdığı vaxtı alır. Vəqif təhlili layihələrlə birlikdə və kifayət qədər kontekstlə özünün aparması qərarına gəldi.

Artıq hazır olan infrastruktur

ASF Tooling 2026-nın əvvəlindən kodu OWASP ASVS üzrə qiymətləndirən avtomatik audit xəttini öz Gofannon agent platformasında işlədir. Xətt üç səviyyəlidir: yüngül səviyyə böyük həcmi süzür, orta səviyyə kodun tərkibini siyahıya alır, ağır səviyyə real düşünmə tələb edən təhlili aparır. Hər səviyyənin modeli işə salınma anında Opus, Sonnet və Haiku ya da Mythos, Gemma və Qwen ansamblından seçilir. Komandaya görə kod bazası kontekstinin verilməsi yanlış pozitivləri kəskin azaldıb.

Əvvəlcə təhdid modeli

Yoxlamadan əvvəl ASF Security layihələri təhdid modeli üzərində işləməyə dəvət etdi. 180-dən çox repozitoriyanı əhatə edən 75 layihə idarəetmə komitəsi (PMC) qoşuldu və nəyin vacib olduğunu, hansı sərhədlərin qorunmalı olduğunu, hansı fərziyyələrin qəbul edildiyini təsvir etdi. Alpha-Omega-nın Threat Model bacarığı ilə yaradılan modellər əvvəlcə yoxlanıldı, yoxlanılmış modellə iş isə təqribən beşdə bir ucuz başa gəldi.

Glasswing, açıqlama və növbəti addımlar

Anthropic-in Project Glasswing proqramı seçilmiş təşkilatlara şirkətin ən güclü modellərinə çıxış verir. Yoxlamalar Glasswing harness-i ilə paralel Claude Code sessiyalarında aparıldı, kritik zəifliklərə isə hazırlanmış və ayrıca yoxlanılmış yama əlavə olundu. Həssas tapıntılar əvvəlcə layihənin təhlükəsizlik siyahısına gedir və PMC öz cədvəli ilə düzəldir. Növbətisi artımlı yoxlamalar, yeni yoxlama növləri və vəqfin idarə etdiyi token büdcəsi ilə self-servis rejimdir.