Apache-მ 230 რეპოზიტორია AI-ით სამ დღეში შეამოწმა

Apache Software Foundation-მა (ASF) 2026 წლის აგვისტოში სამ დღეში ფონდის 230 რეპოზიტორია სრულად შეამოწმა. სამუშაო ASF Security-ისა და ASF Tooling-ის გუნდებმა Responsible AI Initiative (RAI) ფარგლებში, Anthropic-ის Claude Mythos 5 მოდელითა და Project Glasswing-ის პროგრამით შეასრულეს. შედეგები კოდის მფლობელ პროექტებს ოფიციალური გამჟღავნების არხით გადაეცა და გამოსწორება უკვე მიმდინარეობს.

რატომ დაიწყო სკანირება

ASF Security-მ Alpha-Omega-ს მიერ ორ ASF პროექტზე ჩატარებული Mythos-ზე დაფუძნებული სკანირება გააანალიზა და დაინახა, რომ ანგარიშები კონკრეტული და დეტალური იყო. პარალელურად იზრდება ღია კოდის პროექტებზე AI-ის მიერ გენერირებული მოწყვლადობის ანგარიშების რაოდენობა, რომელთა გარჩევაც მეინტეინერების დროს მოითხოვს. ამიტომ ფონდმა გადაწყვიტა, ანალიზი თავად ჩაეტარებინა, პროექტებთან ერთად და საკმარისი კონტექსტით.

რას ეყრდნობა პაიპლაინი

ASF Tooling 2026 წლის დასაწყისიდან ავტომატური აუდიტის პაიპლაინს ამუშავებს, რომელიც კოდს OWASP ASVS სტანდარტით აფასებს Gofannon-ზე, თავისივე აგენტურ პლატფორმაზე. პაიპლაინი სამ დონეზეა აწყობილი: მსუბუქი დონე დიდ მოცულობას ფილტრავს, საშუალო კოდის შემადგენლობას აღრიცხავს, მძიმე კი რეალურ მსჯელობას საჭირო ანალიზს ასრულებს. მოდელი გაშვების დროს ირჩევა, Opus, Sonnet და Haiku-ს ან Mythos, Gemma და Qwen-ის ანსამბლიდან. გუნდის თქმით, კოდბაზის კონტექსტის მიწოდებამ ცრუ დადებითი შედეგები მკვეთრად შეამცირა.

საფრთხის მოდელები სკანირებამდე

სკანირებამდე ASF Security-მ პროექტებს საფრთხის მოდელზე მუშაობა შესთავაზა: ჩაერთო 75 პროექტის მართვის კომიტეტი (PMC) 180-ზე მეტი რეპოზიტორიით. თითოეულმა აღწერა, რომელი კომპონენტია მთავარი, რომელი საზღვრები უნდა დარჩეს უცვლელი და რა დაშვებებია უკვე მიღებული. Alpha-Omega-ს მიერ შემოწირული Threat Model skill-ის დახმარებით შექმნილი მოდელები შემოწმდა, ხოლო შემოწმებული მოდელით სკანირება დაახლოებით მეხუთედით იაფი აღმოჩნდა.

Glasswing და შემდეგი ნაბიჯები

Anthropic-ის Project Glasswing შერჩეულ ორგანიზაციებს უსაფრთხოების კვლევისთვის ყველაზე მძლავრ მოდელებზე წვდომას აძლევს. სკანირება Glasswing-ის harness-ით, Claude Code-ის პარალელურ სესიებში ჩატარდა, კრიტიკულ მოწყვლადობებს კი მომზადებული და ცალკე გადამოწმებული პაჩი ახლდა. მგრძნობიარე დასკვნები ჯერ პროექტის უსაფრთხოების სიაში ხვდება, PMC კი მათ საკუთარი გრაფიკით ასწორებს. შემდგომში დაგეგმილია ინკრემენტული სკანირება, ახალი ტიპის შემოწმებები და თვითმომსახურების რეჟიმი token ბიუჯეტით.