Die Entwickler des LLVM-Projekts haben Regeln für die Verwendung von KI-Tools in der Softwareentwicklung festgelegt. Die Notwendigkeit einer Regulierung des Einsatzes von KI ergibt sich aus der Zunahme an unnötigen Änderungen, die zur Integration in den LLVM-Code eingereicht werden. Unter unnötigen Änderungen versteht man jene, die von KI-Tools generiert und unverändert eingereicht werden, ohne das Wesentliche zu verstehen, zu überprüfen und in der Haltung zu verweilen, dass „der Maintainer schon damit umgehen wird“. Solches Verhalten führt zu zusätzlicher Belastung für die Betreuer und zwingt sie, Zeit mit dem Durchsehen nutzlosen Codes zu verbringen.
Gleichzeitig erkennen die LLVM-Entwickler an, dass KI, wenn sie richtig eingesetzt wird, ein nützliches Werkzeug zur Beschleunigung der Entwicklung ist. Die in LLVM verabschiedeten Bedingungen für die Anwendung von KI basieren teilweise auf Regeln, die im vergangenen Jahr vom Fedora-Projekt veröffentlicht wurden. Die Grundidee der verabschiedeten Regeln ist, dass Entwickler nicht die Betreuer mit der Überprüfung von Code belasten sollten, der von KI-Assistenten erstellt wurde.
Zusätzlich zu den im Fedora-Regelwerk genannten Verantwortlichkeiten für Änderungen an den LLVM-Regeln wurde die Anforderung eines obligatorischen manuellen Code-Reviews für durch KI generierten Code eingeführt, bevor Änderungen am Projekt vorgeschlagen werden. Außerdem muss der Verfasser der Änderung den übermittelten Code gut verstehen und bereit sein, auf damit verbundene Fragen zu antworten. Es wird empfohlen, Beschreibungen für Pull-Requests manuell zu verfassen und nicht auf die Generierung von Begleittexten durch KI zu vertrauen.
Bei der Einreichung einer Änderung, deren wesentlicher Teil von KI-Tools generiert wurde, müssen im Kommentar des Pull-Requests Informationen über den Einsatz von KI hinzugefügt werden, beispielsweise durch die Angabe des Tags „Assisted-by: Name des KI-Assistenten“. Die Verwendung automatisierter KI-Tools, wie des in GitHub integrierten KI-Agenten @claude, die Aktionen ausführen oder Kommentare ohne menschliches Zutun senden, ist verboten.
Die verabschiedeten Regeln gelten nicht nur für den Code in Änderungsanfragen, sondern auch für RFC-Dokumente mit Vorschlägen für neue Funktionen, Meldungen über Sicherheitsanfälligkeiten und Fehler, sowie Kommentare und Rückmeldungen zu Pull-Requests.
Zusätzlich kann auf die Entscheidung von Daniel Stenberg, dem Autor des Tools cURL zur Übertragung und Abfrage von Daten im Netzwerk, hingewiesen werden, die Prämienprogramme zur Belohnung für die Offenlegung von Schwachstellen in cURL einzustellen. Die Prämienzahlungen werden Ende Januar eingestellt, da es eine Überflutung mit fehlerhaften Anfragen gibt, die von KI-Assistenten generiert und ohne Überprüfung der tatsächlichen Schwachstelle eingereicht wurden.
Berichten zufolge wurden in den ersten zwei Januarwochen 20 Anträge auf Prämien eingereicht, die Schwachstellen behaupteten. Eine Überprüfung dieser Anträge ergab, dass in keinem von ihnen echte Schwachstellen festgestellt wurden. Den Verfassern von Schwachbericht wird empfohlen, keine Probleme zu melden, wenn sie deren Natur nicht verstehen und den Fehler nicht reproduzieren können. Die Überprüfung solcher Anträge kostet viel Zeit für das Sicherheitsteam. Es wird vermutet, dass die Einstellung der Prämienzahlungen die Motivation der Menschen verringert, fehlerhafte und schlecht geprüfte Schwachmeldungen einzureichen, unabhängig davon, ob sie von einer KI erzeugt wurden oder nicht.
Zusatzinfo: Das Node.js-Projekt hat ebenfalls eine Einschränkung bei der Annahme von Anträgen auf Belohnungen für das Entdecken von Sicherheitslücken bekannt gegeben und akzeptiert jetzt auf HackerOne nur noch Anträge von Teilnehmern mit hohem Ranking, die bereits Erfahrung im Einreichen korrekter Problemmeldungen haben (signal > 1). Der Grund für diese Änderung ist der signifikante Anstieg der qualitativ schlechten Anträge. Die Bearbeitung von irrelevanten Anträgen kostet Zeit und Ressourcen, die besser für die tatsächliche Sicherheitsarbeit der Plattform verwendet werden könnten. Vom 15. Dezember bis zum 15. Januar hat das Projekt mehr als 30 solcher Anträge erhalten.
Quelle: opennet.ru
