{"id":154667,"date":"2026-01-22T17:11:54","date_gmt":"2026-01-22T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/llvm-vvyol-pravila-primeneniya-ai-instrumentov-curl-i-node-js-ogranichat-vyplaty-za-uyazvimosti-iz-za-ai"},"modified":"2026-01-22T17:11:54","modified_gmt":"2026-01-22T15:11:54","slug":"llvm-vvyol-pravila-primeneniya-ai-instrumentov-curl-i-node-js-ogranichat-vyplaty-za-uyazvimosti-iz-za-ai","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/llvm-vvyol-pravila-primeneniya-ai-instrumentov-curl-i-node-js-ogranichat-vyplaty-za-uyazvimosti-iz-za-ai","title":{"rendered":"LLVM hat Regeln f\u00fcr den Einsatz von KI-Tools eingef\u00fchrt. Curl und Node.js werden die Entsch\u00e4digungen f\u00fcr Sicherheitsanf\u00e4lligkeiten aufgrund von KI einschr\u00e4nken.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Entwickler des LLVM-Projekts haben Regeln f\u00fcr die Verwendung von KI-Tools in der Entwicklung festgelegt. Die Notwendigkeit zur Regelung des Einsatzes von KI ergibt sich aus der Zunahme an nutzlosen \u00c4nderungen, die zur Aufnahme in die LLVM-Codebasis vorgeschlagen werden. Mit nutzlosen \u00c4nderungen sind solche gemeint, die von KI-Tools generiert und unver\u00e4ndert eingereicht wurden, ohne das Verst\u00e4ndnis des Inhalts, ohne \u00dcberpr\u00fcfung und mit der Einstellung \u201eDer Wartende wird schon damit klarkommen\u201c. Eine solche Aktivit\u00e4t erh\u00f6ht die Last f\u00fcr die Betreuer und zwingt sie dazu, Zeit mit der Analyse von nutzlosem Code zu verbringen. <\/p>\n
Die LLVM-Entwickler erkennen jedoch an, dass KI, wenn sie richtig eingesetzt wird, ein n\u00fctzliches Werkzeug ist, das die Entwicklung beschleunigt. Die im LLVM genehmigten Bedingungen f\u00fcr den Einsatz von KI basieren teilweise auf Regeln, die im vergangenen Jahr vom Fedora-Projekt ver\u00f6ffentlicht wurden. Die Hauptidee der angenommenen Regeln ist, dass Entwickler die Wartenden nicht mit der Pr\u00fcfung des von KI-Assistenten generierten Codes belasten sollten. <\/p>\n
Zus\u00e4tzlich zu der im Fedora-Regelwerk festgelegten Verantwortung f\u00fcr eingereichte \u00c4nderungen hat LLVM die Anforderung eingef\u00fchrt, dass der durch KI generierte Code vor der Einreichung einer \u00c4nderung im Projekt manuell \u00fcberpr\u00fcft werden muss. Dar\u00fcber hinaus muss der Verfasser der \u00c4nderung gut mit dem eingereichten Code vertraut sein und in der Lage sein, auf damit verbundene Fragen zu antworten. Es wird empfohlen, manuelle Beschreibungen f\u00fcr Pull-Requests zu erstellen und sich nicht auf KI zur Erstellung begleitender Texte zu verlassen. <\/p>\n
Bei der \u00dcbermittlung von \u00c4nderungen, von denen ein erheblicher Teil von KI-Tools generiert wurde, muss im Kommentar zum Pull-Request Informationen \u00fcber die Verwendung von KI hinzugef\u00fcgt werden, zum Beispiel durch den Hinweis \u201eAssisted-by: Name des KI-Assistenten\u201c. Der Einsatz automatisierter KI-Tools, wie dem in GitHub integrierten KI-Agenten @claude, der ohne menschliches Zutun Aktionen durchf\u00fchrt oder Kommentare abgibt, ist verboten. <\/p>\n
Die angenommenen Regeln gelten nicht nur f\u00fcr den Code in \u00c4nderungsvorschl\u00e4gen, sondern auch f\u00fcr RFC-Dokumente mit Vorschl\u00e4gen f\u00fcr neue Funktionen, Sicherheitsmeldungen und -fehler, Kommentare und R\u00fcckmeldungen zu Pull-Requests. <\/p>\n
Zus\u00e4tzlich ist die Entscheidung von Daniel Stenberg, dem Autor des Tools f\u00fcr die \u00dcbertragung von Daten \u00fcber das Netzwerk curl, zu erw\u00e4hnen, die Aussetzung des Programms zur Vergabe von Geldpr\u00e4mien f\u00fcr die Offenlegung von Schwachstellen in Curl zu beenden. Die Auszahlung von Pr\u00e4mien wird Ende Januar eingestellt, da es eine \u00dcberflutung von Junk-Antr\u00e4gen gab, die von KI-Assistenten generiert und ohne \u00dcberpr\u00fcfung der tats\u00e4chlichen Schwachstellen eingereicht wurden. <\/p>\n
Es wird berichtet, dass in den ersten beiden Januartagen 20 Antr\u00e4ge auf Pr\u00e4mien eingereicht wurden, die Schwachstellen behaupteten. Die Auswertung dieser Antr\u00e4ge ergab, dass in keinem von ihnen tats\u00e4chliche Schwachstellen festgestellt wurden. Berichterstattern \u00fcber Schwachstellen wird geraten, kein Problem zu melden, wenn sie dessen Wesen nicht verstehen und den Fehler nicht reproduzieren k\u00f6nnen. Die \u00dcberpr\u00fcfung solcher Antr\u00e4ge kostet viel Zeit des Sicherheitsteams. Es wird angenommen, dass die Einstellung der Pr\u00e4mienzahlungen die Motivation der Menschen verringert, Junk- und schlecht \u00fcberpr\u00fcfte Berichte \u00fcber Schwachstellen einzureichen, unabh\u00e4ngig davon, ob sie von KI generiert wurden oder nicht. <\/p>\n
Zusatz: Das Projekt Node.js hat ebenfalls die Einschr\u00e4nkung bei der Annahme von Antr\u00e4gen auf die Vergabe von Pr\u00e4mien f\u00fcr Schwachstellen bekannt gegeben und akzeptiert nun bei HackerOne nur Antr\u00e4ge von Teilnehmern mit hohem Ranking, die bereits Erfahrung im Einreichen korrekter Problemmeldungen haben (signal > 1). Als Grund f\u00fcr die \u00c4nderung wird der erhebliche Anstieg der Anzahl von niedrigwertigen Antr\u00e4gen genannt. Die Auswertung von Junk-Antr\u00e4gen kostet Zeit und Ressourcen, die f\u00fcr die tats\u00e4chliche Arbeit an der Verbesserung der Sicherheit der Plattform verwendet werden k\u00f6nnten. Vom 15. Dezember bis 15. Januar erhielt das Projekt \u00fcber 30 solcher Antr\u00e4ge. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"