Akrites ცდილობს AI უსაფრთხოების ხმაური გაფილტროს ღია კოდის მენტენერებისთვის

AI ანგარიშები მენტენერებს ატბარებს

ღია კოდის მენტენერები AI-ის ხელსაწყოების მიერ შექმნილი უსაფრთხოების ანგარიშებით იტბორებიან, რომლებიც არაზუსტი, გამეორებადი და პატჩის დასაწერად საჭირო დეტალების ნაკლოვანია, ამბობენ Akrites-ის CTO და Open Source Security Foundation-ის მთავარი უსაფრთხოების არქიტექტორი კრისტოფერ რობინსონი და Linux Foundation-ის უსაფრთხოების არქიტექტორი AI-სა და აგენტური სისტემების მიმართულებით ლორა გუაზელი. პრაღაში გამართულ Open Source Summit Europe-ზე სიტყვით გამოსვლისას რობინსონმა თქვა, რომ AI-მა შეამცირა შესვლის ბარიერი დაუცველობებზე ნადირობაში, რამაც უსაფრთხოების კრედენციალების არმქონე ადამიანებისგან შემოწმებების ნაკადი გამოიწვია.

ორივე მათგანი სიტყვით გამოვიდა დაკავშირებული კონფერენციის მოხსენების შემდეგ, სადაც OpenSSF-ის აპარატის უფროსმა ედრიან მარკუმმა ნახევრად ხუმრობით გამოიყენა ტერმინი „vibe researching“ AI-ის მზარდი გამოყენებისთვის ბაგების ძიებაში. რობინსონმა შეაფასა, რომ ერთი უსაფრთხოების pull request-ის გადახედვას ინჟინერს რვა საათამდე შეიძლება დასჭირდეს. მან ეს ანგარიშები აღწერა როგორც გრძელვერბალური, უაღრესად არაზუსტი და სიმძიმის გადაჭარბებისკენ მიდრეკილი, ხოლო გუაზელმა თქვა, რომ მოდელები ხშირად ვერ ამჩნევენ უფრო ფართო უსაფრთხოების კონტროლებს, რომლებსაც შეუძლიათ ანგარიშში მოხსენებული პრობლემა უვნებელი გახადონ.

საერთო რეაგირების ფენა

Akrites, რომელიც Linux Foundation-მა ივნისში გამოაცხადა, ცდილობს იმუშაოს როგორც საერთო უსაფრთხოების ინციდენტებზე რეაგირების გუნდი. ის აერთიანებს დაუცველობის ანგარიშებს, ამოწმებს დასკვნებს და კოორდინაციას უწევს გამოსწორებებს upstream-ის მენტენერებთან. რობინსონმა თქვა, რომ Akrites AI-ს იყენებს შემოსული ანგარიშების შესაფასებლად და დუბლიკატების მოსაძებნად, ხოლო მივლინებული ინჟინრები ადამიანურ შემოწმებას ამატებენ მანამ, სანამ მასალა პროექტის მენტენერებამდე მივა.

დამფუძნებელ წევრებს შორის, სხვებთან ერთად, არიან Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi და JPMorganChase. რობინსონმა თქვა, რომ წევრებისგან მოსალოდნელია საინჟინრო რესურსების შეტანა, თითოეულის მხრიდან 10 სრულ განაკვეთზე მომუშავე ინჟინრამდე, ხოლო ზოგიერთი ფინანსური ინსტიტუტი ამის ნაცვლად მეტ ფულს აძლევს, რადგან შიდა პოლიტიკა მათ upstream-ში წვლილის შეტანის საშუალებას არ აძლევს. მან მივლინებულ ინჟინრების რაოდენობა დაახლოებით 200-ად შეაფასა და თქვა, რომ მიზანია ანგარიშები უფრო ლაკონური და გასაგები გახდეს, სატესტო შემთხვევებით, კონცეფციის მტკიცებულებითა და პატჩებით.

დაფინანსება და საკუთრება

Akrites არ არის Linux Foundation-ის ერთადერთი ძალისხმევა, რომელიც AI-ს იყენებს ღია კოდის უსაფრთხოებისთვის. ღია კოდის Cyber Reasoning System, ანუ OSS CRS, ავითარებს AI-ზე დაფუძნებულ ხელსაწყოებს, რომლებიც პროექტებს დაუცველობების გამოკვლევასა და გამოსწორებების გენერირებაში დაეხმარება. გუაზელმა თქვა, რომ მიზანი არა მხოლოდ დაუცველობის დადასტურება, არამედ რაც შეიძლება საუკეთესო პატჩის მიწოდებაა, ისე რომ ახალი დაუცველობები არ შემოვიდეს და არსებული ფუნქციონალი არ გატყდეს.

რობინსონმა თქვა, რომ ეს სამუშაო ძვირია, რადგან დიდ გამოთვლით სიმძლავრეს და LLM-ებს მოითხოვს, ხარჯები კი ინფრასტრუქტურასა და ტოკენებს მოიცავს. მან თქვა, რომ კორპორატიული წევრები ფინანსურ მხარდაჭერას უზრუნველყოფენ და ხაზი გაუსვა, რომ ღია კოდის მენტენერებმა ხარჯები მარტო არ უნდა იტვირთონ. ასიათასობით ანგარიშის დაგროვილი რიგის პირობებში, მან თქვა, რომ კომერციულ ორგანიზაციებს პატჩების აღება შეუძლიათ, მაგრამ გამოსწორებები upstream პროექტებამდე უნდა მივიდეს და არა იზოლირებული დარჩეს.

წყაროები: The New Stack