Gli sviluppatori del progetto LLVM hanno approvato le regole per l'uso degli strumenti AI nello sviluppo. La necessità di regolamentare l'uso dell'AI è dovuta all'aumento del numero di modifiche spazzatura proposte per l'inclusione nel codice sorgente di LLVM. Per modifiche spazzatura si intendono quelle generate da strumenti AI e inviate senza una comprensione del contenuto, controllo e con l'atteggiamento che 'il mantenitore se ne occuperà'. Tale attività genera un carico maggiore per gli operatori e li costringe a spendere tempo nell'analisi di codice inutile.
Tuttavia, gli sviluppatori di LLVM riconoscono che, se utilizzato correttamente, l'AI è uno strumento utile che accelera lo sviluppo. Le condizioni approvate in LLVM per l'uso dell'AI si basano parzialmente su regole pubblicate lo scorso anno dal progetto Fedora. L'idea principale delle regole adottate è che gli sviluppatori non dovrebbero trasferire agli operatori il lavoro di revisione del codice creato dagli assistenti AI.
Oltre alle responsabilità menzionate nelle regole di Fedora riguardo alle modifiche proposte, è stata introdotta la richiesta di una revisione manuale del codice generato tramite AI prima di proporre una modifica al progetto. Inoltre, chi prepara la modifica deve avere una buona comprensione del codice inviato e deve essere pronto a rispondere a eventuali domande relative. Si consiglia di redigere manualmente le descrizioni delle pull request, invece di affidarsi a un testo generato dall'AI.
Quando si invia una modifica di cui una parte significativa è generata da strumenti AI, è necessario includere nella nota della pull request informazioni sull'uso dell'AI, ad esempio, aggiungendo l'etichetta «Assisted-by: nome dell'assistente AI». È vietato utilizzare strumenti AI automatizzati, come l'agente AI integrato con GitHub @claude, che eseguono azioni o inviano commenti senza l'intervento umano.
Le regole adottate si applicano non solo al codice nelle richieste di modifica, ma anche ai documenti RFC che propongono nuove funzionalità, ai messaggi di vulnerabilità e bug, e ai commenti e feedback sulle pull request.
Inoltre, si segnala la decisione di Daniel Stenberg, autore dell'utility per il trasferimento di dati tramite rete curl, di interrompere il programma di premi per la segnalazione di vulnerabilità in Curl. Il pagamento dei premi terminerà alla fine di gennaio a causa dell'abbondanza di segnalazioni fasulle, generate da assistenti AI e inviate senza una verifica dell'effettiva esistenza della vulnerabilità.
Riporta che nelle prime due settimane di gennaio sono state presentate 20 richieste di premio che affermano di aver individuato vulnerabilità. L'analisi di queste richieste ha mostrato che nessuna di esse ha rivelato vulnerabilità reali. Si consiglia agli autori dei report sulle vulnerabilità di non segnalare un problema se non ne comprendono la natura e non possono riprodurre l'errore. La verifica di simili richieste richiede molto tempo al team responsabile della sicurezza. Si prevede che l'interruzione del pagamento dei premi ridurrà la motivazione delle persone ad inviare report fasulli e poco verificati sulle vulnerabilità, indipendentemente dal fatto che siano generati da AI o meno.
Nota: Il progetto Node.js ha anche annunciato una restrizione nell'accettazione delle richieste di ricompensa per la segnalazione di vulnerabilità, accettando ora su HackerOne solo le richieste da partecipanti con alta reputazione, che hanno già esperienza nell'invio di segnalazioni valide (signal > 1). La motivazione di questo cambiamento è un notevole aumento del numero di richieste di bassa qualità. L'analisi di queste richieste spazzatura sottrae tempo e risorse che potrebbero essere impiegati in attività reali per migliorare la sicurezza della piattaforma. Dal 15 dicembre al 15 gennaio, il progetto ha ricevuto oltre 30 di queste richieste.
Fonte: opennet.ru
