Programeri projekta LLVM usvojili su pravila o korištenju AI alata u razvoju. Potreba za regulacijom upotrebe AI objašnjava se povećanjem broja beskorisnih izmjena koje se predlažu za uključivanje u LLVM-ovu kodnu bazu. Beskorisne izmjene su one koje generiraju AI alati i šalju se bez razumijevanja suštine, provjere i uz stav 'održavatelj će se već snaći'. Ova aktivnost stvara dodatni teret za programere i prisiljava ih da troše vrijeme na analizu beskorisnog koda.
Usprkos tome, programeri LLVM priznaju da je uz pravilnu upotrebu AI koristan alat koji ubrzava razvoj. Usvojeni uvjeti za korištenje AI u LLVM-u djelomično se temelje na pravilima koja je prošle godine objavio projekt Fedora. Glavna ideja prihvaćenih pravila je da programeri ne bi trebali prebacivati odgovornost za recenziranje koda generiranog u AI asistentima na održavatelje.
Uz odgovornost koju spominje pravila Fedora, u pravilima LLVM-a dodan je zahtjev za obveznim ručnim recenziranjem koda generiranog u AI, prije nego što se predloži izmjena projekta. Osim toga, onaj tko priprema izmjenu mora dobro razumjeti poslan kod i biti spreman odgovoriti na povezane upite. Preporučuje se ručno sastavljanje opisa za pull zahtjeve, umjesto da se prepusti AI pripremi pratećeg teksta.
Prilikom predaje izmjene čiji je značajan dio generiran AI alatima, u bilješku pull zahtjeva potrebno je dodati informacije o korištenju AI, na primjer, navodeći oznaku 'Assisted-by: naziv AI asistenta'. Zabranjena je upotreba automatiziranih AI alata, poput GitHub integriranog AI agenta @claude, koji izvode radnje ili šalju komentare bez ljudske intervencije.
Usvojena pravila ne odnose se samo na kod u zahtjevima za izmjenom, već i na RFC dokumente s prijedlozima novih funkcionalnosti, izvještaje o ranjivostima i greškama, komentare i osvrte na pull zahtjeve.
Dodatno se može spomenuti rješenje Danijela Stenberga, autora alata za prijenos podataka putem mreže curl, o ukidanju programa isplate novčanih nagrada za otkrivanje ranjivosti u cURL-u. Isplata nagrada prestat će krajem siječnja zbog prekomjernog broja lažnih prijava generiranih putem AI asistenta koje su poslane bez provjere stvarne ranjivosti.
Izvještava se da je u prvih dva tjedna siječnja zaprimljeno 20 prijava za nagradu, koje tvrde da otkrivaju ranjivosti. Analiza tih prijava pokazala je da nijedna od njih ne sadrži stvarne ranjivosti. Autorima izvještaja o ranjivostima preporučuje se da ne prijavljuju probleme ako ne razumiju njihovu suštinu i ne mogu reproducirati grešku. Provjera takvih prijava oduzima puno vremena timu zaduženom za sigurnost. Pretpostavlja se da će ukidanje isplate nagrada smanjiti motivaciju ljudi da šalju lažne i slabo provjerene izvještaje o ranjivostima, bez obzira na to jesu li generirani AI-em ili ne.
Dodatak: O ograničenju prihvata prijava za isplatu nagrada za otkrivanje ranjivosti također je objavio projekt Node.js, koji će sada na HackerOne prihvaćati samo prijave od korisnika s visokim rejtingom, koji već imaju iskustvo slanja ispravnih izvještaja o problemima (signal > 1). Kao razlog promjene navodi se značajno povećanje broja niskokvalitetnih prijava. Analiza lažnih prijava oduzima vrijeme i resurse koje bi se mogli usmjeriti na stvarni rad na poboljšanju sigurnosti platforme. Od 15. prosinca do 15. siječnja projekt je zaprimio više od 30 takvih prijava.
Izvor: opennet.ru
