Apache-ը երեք օրում AI-ի օգնությամբ ստուգել է 230 պահոց

Apache Software Foundation-ը (ASF) 2026 թվականի օգոստոսին երեք օրում ամբողջությամբ ստուգեց իր 230 պահոցները: Աշխատանքը կատարեցին ASF Security և ASF Tooling թիմերը՝ Responsible AI Initiative (RAI) շրջանակում, օգտագործելով Anthropic-ի Claude Mythos 5 մոդելը Project Glasswing ծրագրով: Արդյունքները պաշտոնական ուղով փոխանցվեցին նախագծերին, ուղղումները շարունակվում են:

Ինչու սկսվեցին ստուգումները

ASF Security-ն վերլուծեց Alpha-Omega-ի կողմից երկու ASF նախագծերում արված Mythos-ի վրա հիմնված ստուգումները և գտավ զեկույցները բավական կոնկրետ ու մանրամասն: Միևնույն ժամանակ ավելանում է AI-ի կողմից ստեղծված խոցելիության զեկույցների ծավալը, իսկ օգտակարը աղմուկից տարբերելը խլում է նախագծերի ունեցածից ավելի ժամանակ: Հիմնադրամը որոշեց ինքը վարել վերլուծությունը՝ նախագծերի հետ և բավարար համատեքստով:

Ինչ արդեն պատրաստ էր

2026 թվականի սկզբից ASF Tooling-ը գործարկում է ավտոմատ աուդիտի խողովակաշար, որը կոդը գնահատում է OWASP ASVS ստանդարտով՝ Gofannon գործակալային հարթակի վրա: Խողովակաշարն ունի երեք շերտ՝ թեթևը զտում է մեծ ծավալները, միջինը կազմում է կոդի պարունակության ցանկը, ծանրը կատարում է իրական դատողություն պահանջող վերլուծությունը: Շերտի մոդելն ընտրվում է գործարկման պահին՝ Opus, Sonnet և Haiku կամ Mythos, Gemma և Qwen համույթից. թիմի խոսքով՝ համատեքստ տալը կտրուկ նվազեցրեց սխալ ահազանգերը:

Նախ սպառնալիքի մոդել

Ստուգումից առաջ ASF Security-ն նախագծերին առաջարկեց աշխատել սպառնալիքի մոդելի վրա: Միացան 180-ից ավելի պահոց ընդգրկող 75 նախագծի կառավարման կոմիտե (PMC) և նկարագրեցին, թե ինչն է կարևոր, որ սահմանները պետք է պահպանվեն և որ ենթադրություններն արդեն ընդունված են: Alpha-Omega-ի Threat Model հմտությամբ ստեղծված մոդելները սկզբում ստուգվեցին, իսկ ստուգված մոդելով աշխատանքը մոտավորապես մեկ հինգերորդով էժան էր:

Glasswing և հետագա քայլեր

Anthropic-ի Project Glasswing ծրագիրը ընտրված կազմակերպություններին տալիս է ընկերության ամենահզոր մոդելների հասանելիությունը: Ստուգումները կատարվեցին Glasswing-ի harness-ով՝ Claude Code-ի զուգահեռ սեսիաներում, իսկ կրիտիկական խոցելիություններին կցված էր պատրաստված ու առանձին ստուգված կարկատան: Զգայուն գտածոները նախ հասնում են նախագծի անվտանգության ցանկին, և PMC-ն ուղղում է իր ժամանակացույցով: Հաջորդիվ նախատեսված են աստիճանական ստուգումներ, նոր տեսակներ և ինքնասպասարկման ռեժիմ՝ token բյուջեով: