Разработчиците на проекта LLVM одобриха правила за използване на AI-инструменти при разработка. Необходимието от регламентиране на използването на AI се обяснява с увеличаващия се брой на безполезните промени, предлагани за вграждане в кодовата база на LLVM. Под безполезни се подразбират изменения, генерирани от AI инструменти и изпратени без разбиране на същността, проверка и с позицията "поддържачът сам ще се справи". Такова поведение увеличава натоварването на поддържащите и ги принуждава да влагат време в разглеждане на ненужен код.
Въпреки това, разработчиците на LLVM признават, че при подходящо използване AI е полезен инструмент, който ускорява разработването. Одобрените правила за използване на AI в LLVM частично се основават на правилата, публикувани през миналата година от проекта Fedora. Основната идея на приетите правила е, че разработчиците не трябва да прехвърлят на поддържащите работата по преглед на кода, създаден с AI асистенти.
В допълнение към споменатата в правилата на Fedora отговорност за внесените изменения, в правилата на LLVM е въведено изискването за задължителен ръчен преглед на кода, генериран от AI, преди да се предложи изменения в проекта. Освен това, подготвилят промяната трябва да разбира добре в изпратения код и да бъде готов да отговори на свързани с него въпроси. Препоръчва се ръчно да се формулират описания на pull заявки, вместо да се оставя подготовката на съпровождащия текст на AI.
При предаване на изменение, значителна част от което е генерирано от AI инструменти, в бележките на pull заявката е необходимо да се добавят информация за използването на AI, например, посочвайки етикет "Assisted-by: името на AI асистента". Забранено е използването на автоматизирани AI инструменти, като интегрираният с GitHub AI агент @claude, извършващи действия или изпращащи коментари без участие на човек.
Приетите правила важат не само за кода в искания за промяна, но и за RFC документи с предложения за нова функционалност, съобщения за уязвимости и грешки, коментари и отзиви по pull заявките.
Освен това, отбелязваме решението на Даниел Стенберг, автора на инструмента за изпращане и получаване на данни по мрежата curl, за прекратяване на програмата за изплащане на парични награди за разкриване на уязвимости в Curl. Изплащането на награди ще бъде прекратено в края на януари заради многото непотребни кандидатури, генерирани от AI асистенти и изпратени без проверка за действително наличие на уязвимост.
Съобщава се, че през първите две седмици на януари са подадени 20 кандидатури за награди, които твърдят за наличие на уязвимости. Разборът на данните от тези кандидатури показва, че в нито една от тях не са открити реални уязвимости. Авторите на доклади за уязвимост не би трябвало да съобщават за проблема, ако не разбират същността му и не могат да възпроизведат грешката. Проверката на подобни кандидатури отнема много време на екипа, отговорен за сигурността. Предполага се, че прекратяването на изплащането на награди ще намали мотивацията на хората да изпращат непотребни и слабо проверени доклади за уязвимости, независимо дали са генерирани от AI или не.
Допълнение: За ограничаването на приема на кандидатури за изплащане на награди за разкриване на уязвимости също така обяви проектът Node.js, който сега ще приема в HackerOne само кандидатури от участници с висок рейтинг, които вече имат опит с изпращането на коректни доклади за проблеми (signal > 1). Причината за промяната е значително увеличеният брой на нискокачествени кандидатури. Разборът на непотребни кандидатури отнема време и ресурси, които биха могли да бъдат насочени към реална работа по повишаване на безопасността на платформата. От 15 декември до 15 януари проектът е получил повече от 30 подобни кандидатури.
Източник: opennet.ru
