Akrites, açık kaynak bakımcıları için AI güvenlik gürültüsünü filtrelemeye çalışıyor

AI raporları bakımcıları zor durumda bırakıyor

Açık kaynak bakımcıları, belirsiz, tekrarlayan ve yama yazmak için gerekli detaylardan yoksun AI araçları tarafından oluşturulan güvenlik raporlarıyla boğuşuyor, diyor Akrites CTO'su ve Open Source Security Foundation baş güvenlik mimarı Christopher Robinson ile Linux Foundation'ın AI ve agent sistemler güvenlik mimarı Lora Guazelli. Prag'da düzenlenen Open Source Summit Europe'de yaptığı konuşmada Robinson, AI'ın güvenlik açıkları avcılığına giriş engelini düşürdüğünü ve güvenlik kimlik bilgilerine sahip olmayan kişilerden inceleme akışı oluşturduğunu söyledi.

İkisi de, OpenSSF'nin aparat şefi Edrian Markum'un "vibe researching" terimini yarı şakayla hata avlamada AI'ın artan kullanımı için kullanmasının ardından düzenlenen ilgili konferansta konuştu. Robinson, bir güvenlik pull request'inin gözden geçirilmesinin bir mühendise sekiz saate kadar sürebileceğini belirtti. Bu raporları uzun ve açıklayıcı, son derece belirsiz ve yoğunluğu aşmaya yatkın olarak nitelendirdi, Guazelli ise modellerin raporda belirtilen sorunu zararsız hale getirebilecek daha geniş güvenlik kontrollerini sıklıkla kaçırdığını söyledi.

Ortak yanıt alanı

Linux Foundation tarafından Haziran'da duyurulan Akrites, ortak güvenlik olaylarına yanıt veren bir ekip gibi çalışmayı hedefliyor. Güvenlik açığı raporlarını birleştiriyor, sonuçları doğruluyor ve düzeltmelerin upstream bakımcılarıyla koordinasyonunu sağlıyor. Robinson, Akrites'in gelen raporları değerlendirmek ve yineleyenleri bulmak için AI kullandığını, mühendislerin ise materyal proje bakımcılarına ulaşana kadar insan denetimi eklediğini söyledi.

Kurucu üyeler arasında Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi ve JPMorganChase bulunuyor. Robinson, üyelerden mühendislik kaynakları katkısı bekleniyor, her birinden 10 tam zamanlı mühendise kadar, bazı finans kuruluşları ise iç politika upstream'de katkı sağlamaya izin vermediği için bunun yerine daha fazla para veriyor. Seyahat eden mühendis sayısını yaklaşık 200 olarak değerlendirdi ve amacın raporların test durumları, kanıtlanmış kavram ve yamalarla daha özlü ve anlaşılır hale geldiğini söyledi.

Finansman ve mülkiyet

Akrites, Linux Foundation'ın açık kaynak güvenliği için AI kullanan tek girişimi değil. Open Source Cyber Reasoning System veya OSS CRS, projelerin güvenlik açıklarını keşfetmeye ve düzeltmeler üretmeye yardımcı olacak AI tabanlı araçlar geliştiriyor. Guazelli, amacın sadece güvenlik açığını doğrulamak değil, aynı zamanda mümkün olan en iyi yamayı sunmak, böylece yeni güvenlik açıklarının girme ve mevcut işlevselliğin bozulmaması olduğunu söyledi.

Robinson, bu işin büyük hesaplama gücü ve LLM'ler gerektirmesi nedeniyle pahalı olduğunu, maliyetlerin altyapıyı ve token'ları kapsadığını söyledi. Kurumsal üyelerin finansal destek sağladığını ve açık kaynak bakımcılarının maliyetleri tek başına yüklenmemesi gerektiğini vurguladı. Büyük sayıda raporun toplandığı koşullarda, ticari organizasyonların yamaları alabileceğini, ancak düzeltmelerin izole kalmamalı ve upstream projelere ulaşması gerektiğini söyledi.

Kaynaklar: The New Stack