Akrites מנסה לסנן את רעש דוחות האבטחה של AI עבור מתחזקי קוד פתוח

דוחות AI מעמיסים על מתחזקים

מתחזקי קוד פתוח מוצפים בדוחות אבטחה שנוצרו על ידי כלי AI, אשר אינם מדויקים, חוזרים על עצמם וחסרים פרטים הכרחיים לכתיבת תיקון, אומרים כריסטופר רובינסון, CTO של Akrites והארכיטקטורה הראשית לאבטחה של Open Source Security Foundation, ולורה גואזלי, ארכיטקטורת האבטחה של Linux Foundation בכיוון AI ומערכות אג'נטיות. בהופעה המילולית בכנס Open Source Summit Europe שנערך בפראג, אמר רובינסון ש-AI הורידה את חסם הכניסה לציד פגיעויות, מה שהוביל לזרם של בדיקות מאנשים שאין להם אישורי אבטחה.

שניהם ניאמו לאחר הצגה בכנס הקשור, שבה אדריאן מרקום, בכיר בצוות OpenSSF, השתמש חצי בצחוק במונח „vibe researching” על השימוש הגובר ב-AI בחיפוש באגים. רובינסון העריך שבדיקת בקשת משיכה (pull request) אחת לאבטחה עשויה לארך למהנדס עד שמונה שעות. הוא תיאר דוחות אלו כארוכים, לא מדויקים ביותר ונוטים להגזמה בחומרה, ואילו גואזלי אמרה שמודלים לעיתים קרובות לא מזהים בקרות אבטחה רחבות יותר שיכולות להפוך את הבעיה המדווחת בדוח לחסרת השפעה.

שכבת מענה משותפת

Akrites, שהוכרזה על ידי Linux Foundation ביוני, מנסה לפעול כצוות תגובה משותף לאירועי אבטחה. היא מאגדת דוחות פגיעות, בודקת מסקנות ומתאמת תיקונים מול מתחזקי upstream. רובינסון אמר ש-Akrites משתמשת ב-AI כדי להעריך דוחות נכנסים ולאתר כפילויות, ומהנדסים עתידיים יוסיפו בדיקה אנושית עד שהחומר יגיע למתחזקי הפרויקט.

בין חברי הייסוד, בין היתר, נמצאים Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi ו-JPMorganChase. רובינסון אמר שמחברים צפויים לתרום משאבי הנדסה, עד 10 מהנדסים במשרה מלאה מכל אחד, ואילו חלק מהמוסדות הפיננסיים מעדיפים לתרום סכום כסף גבוה יותר, שכן המדיניות הפנימית שלהם אינה מאפשרת להם לתרום לתוך upstream. הוא העריך שמספר המהנדסים העתידיים יגיע לכ-200 ואמר שהמטרה היא שהדוחות יהפכו לקצרים ומובנים יותר, עם מקרי מבחן, הוכחות של קונספציה ותיקונים.

מימון ובעלות

Akrites אינה המאמץ היחיד של Linux Foundation שמשתמש ב-AI לאבטחת קוד פתוח. Cyber Reasoning System לקוד פתוח, כלומר OSS CRS, מפתחת כלים מבוססי AI שעוזרים לפרויקטים לחקור פגיעויות ולייצר תיקונים. גואזלי אמרה שהמטרה אינה רק לאשר את הפגיעות, אלא לספק את התיקון הטוב ביותר האפשרי, כך שפגיעויות חדשות לא ייכנסו והפונקציונליות הקיימת לא תישבר.

רובינסון אמר שעבודה זו יקרה, שכן היה דורשת כוח חישוב ניכר ו-LLMs, והעלויות כוללות תשתיות וטוקנים. הוא אמר שחברים תאגידיים מספקים תמיכה פיננסית והדגיש שמתחזקי קוד פתוח לא אמורים לשאת בעלויות לבדם. בהתחשב בתור הדוחות המצטבר, הוא אמר שארגונים מסחריים יכולים לקחת את התיקונים, אך התיקונים חייבים להגיע לפרויקטי upstream ולא להישאר מבודדים.

מקורות: The New Stack