Vývojáři projektu LLVM schválili pravidla pro používání AI nástrojů při vývoji. Potřeba regulace používání AI je vysvětlena nárůstem počtu nesmyslných změn navrhovaných k zařazení do kódu LLVM. Tyto nesmyslné změny jsou generovány AI nástroji a zasílány tak, jak byly vytvořeny, bez porozumění podstatě, kontroly a s postojem „údržbář se s tím už poradí“. Taková aktivita vytváří zvýšenou zátěž pro udržovatele a nutí je trávit čas analýzou nepotřebného kódu.
Přitom vývojáři LLVM uznávají, že při řádném použití je AI užitečným nástrojem, který urychluje vývoj. Schválené podmínky používání AI v LLVM jsou částečně založeny na pravidlech, která v loňském roce publikoval projekt Fedora. Hlavní myšlenkou přijatých pravidel je, že vývojáři by neměli přenášet na udržovatele práci s recenzováním kódu vytvořeného AI asistenty.
Kromě odpovědnosti za předložené změny uvedené v pravidlech Fedora, byla v pravidlech LLVM zavedena podmínka povinného ručního recenzování kódu generovaného AI, než bude navržena změna do projektu. Navíc ten, kdo změnu připravuje, musí dobře rozumět zaslanému kódu a být připraven odpovědět na související otázky. Doporučuje se ručně vytvářet popisy k pull-requests a nespoléhat se na AI pro přípravu doprovodného textu.
Při předkládání změny, jejíž významná část byla generována AI nástroji, je v poznámce k pull-requestu nutné přidat informace o použití AI, například uvést tag „Assisted-by: název AI asistenta“. Je zakázáno používat automatizované AI nástroje, jako je integrovaný AI agent @claude na GitHubu, které vykonávají akce nebo zasílají komentáře bez lidského zásahu.
Přijatá pravidla se vztahují nejen na kód v žádostech o změny, ale také na RFC dokumenty s návrhy nových funkcí, zprávy o zranitelnostech a chybách, komentáře a zpětnou vazbu k pull-requestům.
Další zajímavostí je rozhodnutí Daniela Stenberga, autora nástroje pro přenos dat přes síť curl, o zrušení programu vyplácení finančních odměn za zveřejnění informací o zranitelnostech v curl. Vyplácení odměn bude ukončeno na konci ledna kvůli množství spamových žádostí generovaných AI asistenty a zasílaných bez ověření skutečné existence zranitelnosti.
Bylo hlášeno, že během prvních dvou týdnů ledna bylo podáno 20 žádostí o odměnu, které tvrdily, že existují zranitelnosti. Analýza těchto žádostí ukázala, že v žádné z nich nebyly zjištěny skutečné zranitelnosti. Autorům zpráv o zranitelnostech se doporučuje, aby o problému neinformovali, pokud jej nechápou a nemohou chybu reprodukovat. Ověřování takových žádostí zabírá hodně času týmu, který se stará o bezpečnost. Předpokládá se, že ukončení vyplácení odměn sníží motivaci lidí zasílat spamové a špatně ověřené zprávy o zranitelnostech, ať už byly generovány AI nebo ne.
Dodatek: Omezují příjem žádostí o vyplácení odměn za odhalení zranitelností také projekt Node.js, který nyní bude přijímat na HackerOne pouze žádosti od účastníků s vysokým hodnocením, kteří již mají zkušenosti s podáváním správných zpráv o problémech (signal > 1). Jako důvod změny je uveden značný nárůst počtu nízkokvalitních žádostí. Analýza spamových žádostí zabírá čas a zdroje, které by mohly být věnovány skutečné práci na zvyšování bezpečnosti platformy. Od 15. prosince do 15. ledna projekt obdržel více než 30 takových žádostí.
Zdroj: opennet.ru
