Udviklerne af LLVM-projektet har godkendt retningslinjer for anvendelse af AI-værktøjer i udviklingsprocessen. Behovet for at regulere brugen af AI forklares med det stigende antal ubrugelige ændringer, der foreslås til inklusion i LLVM's kodebase. Ubrugelige ændringer refererer til ændringer genereret af AI-værktøjer og sendt som de er, uden forståelse af indholdet, kontrol og i overensstemmelse med holdningen "vedligeholderen klarer det selv". Sådan aktivitet skaber øget belastning på vedligeholderne og tvinger dem til at bruge tid på at gennemgå unyttig kode.
Samtidig anerkender LLVM-udviklerne, at når det anvendes korrekt, er AI et nyttigt værktøj til at fremskynde udviklingen. De godkendte betingelser for anvendelse af AI i LLVM er delvist baseret på retningslinjer offentliggjort af Fedora-projektet sidste år. Hovedideen i de vedtagne regler er, at udviklerne ikke bør overføre til vedligeholderne arbejdet med at revidere kode skabt med AI-assistenter.
Udover det ansvar, der nævnes i Fedora-reglerne for de ændringer, der sendes, er der i LLVM's regler indført et krav om obligatorisk manuel gennemgang af AI-genereret kode, før ændringen foreslås til projektet. Desuden skal den, der forbereder ændringen, have en god forståelse for den indsendte kode og være klar til at besvare spørgsmål relateret til det. Det anbefales at skrive beskrivelser til pull-anmodninger manuelt, i stedet for at overlade forberedelsen af den ledsagende tekst til AI.
Når der fremsættes en ændring, hvor en betydelig del er genereret af AI-værktøjer, skal der i bemærkningen til pull-anmodningen tilføjes oplysninger om anvendelsen af AI, som f.eks. at angive tagget "Assisted-by: navn på AI-assistent". Det er forbudt at bruge automatiserede AI-værktøjer, såsom den integrerede AI-agent @claude med GitHub, som udfører handlinger eller sender kommentarer uden menneskelig indblanding.
De vedtagne regler gælder ikke kun for koden i ændringsanmodninger, men også for RFC-dokumenter med forslag til nye funktioner, meddelelser om sårbarheder og fejl, kommentarer og tilbagemeldinger til pull-anmodninger.
Der skal nævnes, at Daniel Stenberg, skaberen af værktøjet til at hente og sende data over netværket, curl, har besluttet at ophæve programmet for udbetaling af belønninger for oplysninger om sårbarheder i Curl. Udbetalingerne vil stoppe i slutningen af januar på grund af det store antal junk-anmodninger genereret af AI-assistenter og sendt uden kontrol for faktiske sårbarheder.
Det rapporteres, at der i de første to uger af januar er indgivet 20 anmodninger om belønninger, der hævder, at der er sårbarheder. Gennemgangen af dataene viste, at der ikke blev identificeret nogen reelle sårbarheder i nogen af anmodningerne. Forfatterne af sårbarhedsrapporter anbefales ikke at rapportere problemer, hvis de ikke forstår dem og ikke kan reproduceres fejlen. Tjek af sådanne anmodninger tager meget tid fra teamet, der arbejder med sikkerhed. Det antages, at ophævelsen af belønningerne vil mindske motivationen for folk til at sende junk- og dårligt kontrollerede sårbarhedsrapporter, uanset om de er genereret af AI eller ej.
Tillæg: Node.js-projektet har også annonceret begrænsningen af modtagelse af anmodninger om udbetaling af belønninger for at identificere sårbarheder, som nu kun accepterer anmodninger fra deltagere med en høj vurdering, der allerede har erfaring med at indsende korrekte problemerapporter (signal > 1). Årsagen til ændringen er det betydelige stigning i antallet af lavkvalitetsanmodninger. Gennemgangen af junk-anmodninger tager tid og ressourcer, som kunne have været brugt på det reelle arbejde med at forbedre sikkerheden på platformen. Fra den 15. december til den 15. januar modtog projektet mere end 30 sådanne anmodninger.
Kilde: opennet.ru
