Akrites փորձում է զտել AI-ի անվտանգության շուրջայլությունը open source պահապանների համար

AI հաշվետվությունները ծանրաբեռնում են պահապաններին

Open source պահապանները AI գործիքների կողմից ստեղծված անվտանգության հաշվետվություններով են ծանրաբեռնվում, որոնք անճշգրիտ են, կրկնվող են և պակաս են patch գրելու համար անհրաժեշտ մանրամասները, ասում են Akrites-ի CTO-ն և Open Source Security Foundation-ի գլխավոր անվտանգության ճարտարապետ Քրիստոֆեր Ռոբինսոնը և Linux Foundation-ի AI-ի և ագենտային համակարգերի ուղղությամբ անվտանգության ճարտարապետ Լորա Գուազելը: Պրագայում անցկացված Open Source Summit Europe-ում խոսելիս Ռոբինսոնը ասաց, որ AI-ն իջեցրել է խոդավարության պատուհանը խոցելի վտանգներ որոնելու համար, ինչը հանգեցրել է անվտանգության վկայականներ չունեցող մարդկանցից ստուգումների հոսքին:

Երկուսն էլ խոսեցին կապված կոնֆերենցիայի նկարագրությունից հետո, որտեղ OpenSSF-ի սարքավորումների վերաբերյալ սենյակի ղեկավար Էդրիան Մարկումը կիսեց ենթատեքստով օգտագործել տերմինը «vibe researching» AI-ի աճող օգտագործման համար սխալների որոնման մեջ: Ռոբինսոնը գնահատեց, որ մեկ անվտանգության pull request-ի վերանայումը ինժեների համար կարող է պահանջվել մինչև ութ ժամ: Նա նկարագրեց այդ հաշվետվությունները որպես երկարովելական, ծայրահեղ անճշգրիտ և ձգվածության ենթարկման ուղղված, իսկ Գուազելը ասաց, որ մոդելերը հաճախ չեն նկատում ավելի լայն անվտանգության վերահսկոմներ, որոնք կարող են հաշվետվության մեջ նշված խնդիրը անտեսանելի դարձնել:

Ընդհանորդ արձագանքի խումբ

Akrites-ը, որը Linux Foundation-ը հայտարարեց հունիսին, փորձում է աշխատել որպես ընդհանորդ անվտանգության իրադարձությունների արձագանքի թիմ: Այն միավորում է խոցելի վտանգների հաշվետվությունները, ստուգում եզրակացությունները և համակարգում է շտկումների համակարգումը upstream պահապանների հետ: Ռոբինսոնը ասաց, որ Akrites-ը AI-ն օգտագործում է մուտք գործած հաշվետվությունների գնահատման և կրկնօրինակների որոնման համար, իսկ ապագա ինժեներները մարդկային ստուգումների ենթարկում են, մինչև նյութը հասնում է նախագծի պահապաններին:

Հիմնադիր անդամների շարքում, ուրշների հետ միասին, են Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi և JPMorganChase: Ռոբինսոնը ասաց, որ անդամներից ակնկալվում է ինժեներական ռեսուրսների ներդրում, յուրաքանչյուրի կողմից 10 լրիվ դրույք զբաղեցրած ինժեների չափով, իսկ որոշ ֆինանսական հաստատություններ այս դեպքում ավելի շատ գումար են տալիս, քանի որ ներքին քաղաքականությունը թույլ չի տալիս նրանց ներդրում կատարել upstream-ում: Նա գնահատեց ապագա ինժեներների թիվը մոտ 200 և ասաց, որ նպատակն է հաշվետվությունները ավելի կարճ և հասկանելի դարձնել՝ փորձարկման դեպքերով, կոնցեպցիայի ապացուցումներով և patch-երով:

Ֆինանսավորում և սեփականություն

Akrites-ը Linux Foundation-ի միակ ձեռնարկությունը չէ, որը AI-ն օգտագործում է open source անվտանգության համար: Open source Cyber Reasoning System, այսինքն OSS CRS, զարգացնում է AI-ի վրա հիմնված գործիքներ, որոնք օգնում են նախագծերի խոցելի վտանգների ուսումնասիրության և շտկումների գեներացման գործում: Գուազելը ասաց, որ նպատակը ոչ միայն խոցելի վտանգի հաստատումն է, այլև հնազանդելի լավագույն patch-ի մատուցումը, այնպես, որ նոր խոցելի վտանգներ չմուտք գործեն և առկա ֆունկցիոնալությունը չկորի:

Ռոբինսոնը ասաց, որ աշխատանքը թանկ է, քանի որ պահանջում է մեծ հաշվողական հզորություն և LLM-ներ, իսկ ծախսերը ներառում են ենթակառուցվածք և թոկեններ: Նա ասաց, որ կորպորատիվ անդամները ապահովում են ֆինանսական աջակցություն և ընդգծեց, որ open source պահածանները ծախսերը միայն իրենք չեն պետք է վերպահեն: Վերջերս հաշվետվության հավաքած հերթի պայմաններում, նա ասաց, որ առևտրային կազմակերպությունները կարող են ստանալ patch-եր, բայց շտկումները պետք է հասնեն upstream նախագծերին, և ոչ թե մնան մեկուսացված:

Նյութերի աղբյուրները՝ The New Stack