Gli sviluppatori del progetto LLVM hanno approvato delle regole per l'uso degli strumenti AI nello sviluppo. La necessità di regolamentare l'uso dell'AI è stata determinata dall'aumento delle modifiche spazzatura proposte per l'inclusione nel codice sorgente di LLVM. Per modifiche spazzatura si intendono quelle generate da strumenti AI e inviate così come sono, senza comprensione del contenuto, verifica e mantenendo la posizione "il manutentore si occuperà di tutto". Tale attività crea un carico maggiore per i manutentori e li costringe a perdere tempo nell'analisi del codice inutile.
Tuttavia, gli sviluppatori di LLVM riconoscono che, se utilizzato correttamente, l'AI è uno strumento utile che accelera lo sviluppo. Le condizioni di utilizzo dell'AI approvate in LLVM si basano in parte su regole pubblicate l'anno scorso dal progetto Fedora. L'idea principale delle regole adottate è che gli sviluppatori non devono scaricare sui manutentori il compito di rivedere il codice creato con assistenti AI.
In aggiunta alla responsabilità menzionata nelle regole di Fedora per le modifiche inviate, le regole di LLVM hanno introdotto il requisito di una revisione manuale obbligatoria del codice generato dall'AI, prima di proporre una modifica al progetto. Inoltre, chi prepara la modifica deve avere una buona comprensione del codice inviato ed essere pronto a rispondere a eventuali domande correlate. Si raccomanda di redigere manualmente le descrizioni delle pull request, invece di affidare la preparazione del testo di accompagnamento all'AI.
Quando si invia una modifica, di cui una parte significativa è stata generata da strumenti AI, è necessario includere nelle note della pull request informazioni sull'uso dell'AI, ad esempio, specificando il tag "Assisted-by: nome dell'assistente AI". È vietato l'uso di strumenti AI automatizzati, come l'agente AI integrato con GitHub @claude, che eseguono azioni o inviano commenti senza il coinvolgimento umano.
Le regole adottate si applicano non solo al codice nelle pull request, ma anche ai documenti RFC con proposte di nuove funzionalità, alle segnalazioni di vulnerabilità e bug, ai commenti e feedback sulle pull request.
In aggiunta, si segnala la decisione di Daniel Stenberg, autore dello strumento per la trasmissione e il recupero di dati tramite rete curl, di interrompere il programma di erogazione di ricompense per la segnalazione di vulnerabilità in Curl. I pagamenti delle ricompense si interromperanno alla fine di gennaio a causa dell'eccessivo numero di segnalazioni fittizie generate da assistenti AI e inviate senza verifica dell'effettiva esistenza della vulnerabilità.
Si riporta che nelle prime due settimane di gennaio sono state presentate 20 richieste di ricompensa, che affermavano l'esistenza di vulnerabilità. L'analisi di tali richieste ha mostrato che nessuna di esse evidenziava vulnerabilità reali. Si consiglia agli autori dei rapporti sulle vulnerabilità di non segnalare un problema se non ne comprendono la natura e non possono riprodurre l'errore. La verifica di tali richieste richiede molto tempo al team di sicurezza. Si prevede che l'interruzione dei pagamenti ridurrà la motivazione delle persone a inviare segnalazioni fittizie e mal verificate, indipendentemente dal fatto che siano generate da AI o meno.
Nota aggiuntiva: Anche il progetto Node.js ha annunciato una limitazione nella ricezione di richieste per il pagamento di ricompense per la segnalazione di vulnerabilità, accettando ora su HackerOne solo richieste da membri con alta reputazione, già esperti nell'invio di rapporti corretti sui problemi (signal > 1). Tra le motivazioni del cambiamento si cita un notevole aumento delle richieste di bassa qualità. L'analisi di segnalazioni fittizie sottrae tempo e risorse che potrebbero essere meglio impiegate per migliorare la sicurezza della piattaforma. Dal 15 dicembre al 15 gennaio, il progetto ha ricevuto oltre 30 di queste richieste.
Fonte: opennet.ru
