El conjunto de herramientas de código abierto ScanCode Toolkit, diseñado para escanear el código en busca de violaciones de derechos de autor, identificar las licencias utilizadas y detectar vulnerabilidades no corregidas, ha criticado un proyecto que creó con ayuda de IA un clon del producto ScanCode, reescrito de Python a Rust (el nombre del clon no se menciona, pero según todos los indicios, se trata del proyecto Provenant). Se afirma que en el proyecto reescrito se ha infringido la marca registrada ScanCode y se han eliminado las menciones a derechos de autor y licencias. Las reclamaciones se explican por el hecho de que en el clon reescrito se continuó utilizando los algoritmos clave de ScanCode, manteniendo la arquitectura del proyecto y la estructura del código.
Según el mantenedor de ScanCode, el éxito en la creación del clon se debió a que el proyecto contaba con un exhaustivo conjunto de pruebas automatizadas, que incluye más de 90,000 pruebas, de las cuales 40,000 se dedican a detectar el uso de licencias en el código. Los autores de la versión reescrita afirmaron haber logrado un aumento significativo en el rendimiento (de 10 a 100 veces), pero, según el mantenedor de ScanCode, el precio de la aceleración fue no completar el conjunto de pruebas y también la disminución de la precisión del funcionamiento y la integridad de la información proporcionada (el clon daba resultados incorrectos y no encontraba toda la información durante el análisis).
Si en pruebas de rendimiento específicas, el puerto de Rust superó significativamente a ScanCode, al pasar por el conjunto de pruebas estándar el clon resultó ser más lento, a pesar de que se omitían algunas verificaciones. Después de optimizaciones en ScanCode, como el almacenamiento en caché, el rendimiento de ScanCode al escanear el código se volvió comparable al del clon en Rust, manteniendo por completo la precisión del funcionamiento.
A los autores del clon también se les imputa la violación de derechos de autor y la licencia Apache 2.0, bajo la cual se distribuye el código de ScanCode. Se señala que durante el proceso de reescritura se violaron 4 requisitos fundamentales de la licencia: mantener el archivo original con la nota (NOTICE), conservar las menciones a los derechos de autor, destacar los cambios realizados y cambiar el nombre en la obra derivada. Después de la observación, los autores del clon publicaron el archivo NOTICE y renombraron su proyecto, pero los otros dos incumplimientos aún permanecen sin resolver.
El acompañante de ScanCode considera que la comunidad debe desarrollar criterios para diferenciar lo que, al utilizar IA, se considera un trabajo derivado y lo que es una implementación independiente. A su juicio, después de reescribir el código en otro idioma manteniendo los algoritmos y la estructura, el resultado sigue siendo un trabajo derivado, incluso si durante el proceso se han renombrado variables y se han modificado o eliminado comentarios. Las afirmaciones de los autores del puerto de Rust sobre una reelaboración independiente, simplemente inspirada en el proyecto ScanCode, no son correctas en este caso, ya que el trabajo está orientado a crear la apariencia de un desarrollo original, lo que es incluso peor que la copia directa, ya que tales manipulaciones son más difíciles de detectar.
Un problema significativo al generar código mediante IA es la falta de seguimiento del origen del código que se utilizó para obtener el resultado. Por defecto, los agentes de IA que utilizan código de proyectos de código abierto ignoran la información sobre los autores, a menos que se implementen específicamente medios para detectar y conservar los metadatos sobre licencias y autoría. El problema de la atribución no solo afecta a la labor de reescribir el código de un idioma a otro, sino también a la generación de código en general, ya que el resultado puede replicar bastante fielmente patrones del código abierto existente utilizado en el proceso de entrenamiento del modelo.
Fuente: opennet.ru
