LLVM hat Regeln für den Einsatz von KI-Tools eingeführt. Curl und Node.js werden die Entschädigungen für Sicherheitsanfälligkeiten aufgrund von KI einschränken.

Die Entwickler des LLVM-Projekts haben Regeln für den Einsatz von KI-Tools bei der Entwicklung festgelegt. Die Notwendigkeit, die Nutzung von KI zu reglementieren, ergibt sich aus der Zunahme von wertlosen Änderungen, die zur Aufnahme in den LLVM-Code vorgeschlagen werden. Unter wertlosen Änderungen versteht man diejenigen, die von KI-Tools generiert und unverändert eingereicht wurden, ohne das Verständnis des Inhalts, der Überprüfung oder die Haltung „der Maintainer wird das schon klären“ zu berücksichtigen. Solche Aktivitäten belastet die Wartenden und zwingt sie, Zeit mit der Analyse von nutzlosem Code zu verbringen.

Die LLVM-Entwickler erkennen jedoch an, dass KI, wenn sie richtig eingesetzt wird, ein nützliches Werkzeug ist, das die Entwicklung beschleunigt. Die im LLVM genehmigten Bedingungen für den Einsatz von KI basieren teilweise auf Regeln, die im vergangenen Jahr vom Fedora-Projekt veröffentlicht wurden. Die Hauptidee der angenommenen Regeln ist, dass Entwickler die Wartenden nicht mit der Prüfung des von KI-Assistenten generierten Codes belasten sollten.

Zusätzlich zu der im Fedora-Regelwerk festgelegten Verantwortung für eingereichte Änderungen hat LLVM die Anforderung eingeführt, dass der durch KI generierte Code vor der Einreichung einer Änderung im Projekt manuell überprüft werden muss. Darüber hinaus muss der Verfasser der Änderung gut mit dem eingereichten Code vertraut sein und in der Lage sein, auf damit verbundene Fragen zu antworten. Es wird empfohlen, manuelle Beschreibungen für Pull-Requests zu erstellen und sich nicht auf KI zur Erstellung begleitender Texte zu verlassen.

Bei der Einreichung einer Änderung, deren erheblicher Teil von KI-Tools generiert wurde, muss im Hinweis des Pull-Requests Informationen über den Einsatz von KI hinzugefügt werden, zum Beispiel durch Angabe des Tags „Assisted-by: Name des KI-Assistenten“. Der Einsatz von automatisierten KI-Tools, wie dem mit GitHub integrierten KI-Agenten @claude, die Aktionen ausführen oder Kommentare ohne menschliche Beteiligung abgeben, ist untersagt.

Die angenommenen Regeln gelten nicht nur für den Code in Änderungsvorschlägen, sondern auch für RFC-Dokumente mit Vorschlägen für neue Funktionen, Sicherheitsmeldungen und -fehler, Kommentare und Rückmeldungen zu Pull-Requests.

Zusätzlich ist die Entscheidung von Daniel Stenberg, dem Autor des Tools für die Übertragung von Daten über das Netzwerk curl, zu erwähnen, die Aussetzung des Programms zur Vergabe von Geldprämien für die Offenlegung von Schwachstellen in Curl zu beenden. Die Auszahlung von Prämien wird Ende Januar eingestellt, da es eine Überflutung von Junk-Anträgen gab, die von KI-Assistenten generiert und ohne Überprüfung der tatsächlichen Schwachstellen eingereicht wurden.

Es wird berichtet, dass in den ersten beiden Januartagen 20 Anträge auf Prämien eingereicht wurden, die Schwachstellen behaupteten. Die Auswertung dieser Anträge ergab, dass in keinem von ihnen tatsächliche Schwachstellen festgestellt wurden. Berichterstattern über Schwachstellen wird geraten, kein Problem zu melden, wenn sie dessen Wesen nicht verstehen und den Fehler nicht reproduzieren können. Die Überprüfung solcher Anträge kostet viel Zeit des Sicherheitsteams. Es wird angenommen, dass die Einstellung der Prämienzahlungen die Motivation der Menschen verringert, Junk- und schlecht überprüfte Berichte über Schwachstellen einzureichen, unabhängig davon, ob sie von KI generiert wurden oder nicht.

Zusatz: Das Projekt Node.js hat ebenfalls die Einschränkung bei der Annahme von Anträgen auf die Vergabe von Prämien für Schwachstellen bekannt gegeben und akzeptiert nun bei HackerOne nur Anträge von Teilnehmern mit hohem Ranking, die bereits Erfahrung im Einreichen korrekter Problemmeldungen haben (signal > 1). Als Grund für die Änderung wird der erhebliche Anstieg der Anzahl von niedrigwertigen Anträgen genannt. Die Auswertung von Junk-Anträgen kostet Zeit und Ressourcen, die für die tatsächliche Arbeit an der Verbesserung der Sicherheit der Plattform verwendet werden könnten. Vom 15. Dezember bis 15. Januar erhielt das Projekt über 30 solcher Anträge.

Quelle: opennet.ru