Razvijalci projekta LLVM so potrdili pravila za uporabo orodij AI pri razvoju. Potreba po regulaciji uporabe AI je pojasnjena z naraščajočim številom nepotrebnih sprememb, ki jih predlagajo za vključitev v kodo LLVM. Pod nepotrebnimi spremembami se razumejo spremembe, ki jih ustvarijo orodja AI in jih pošljejo takšne, brez razumevanja bistva, preverjanja in z mnenjem, da se bo 'vzdrževalec sam spopadel s tem'. Takšna aktivnost povečuje obremenitev za vzdrževalce in jih prisili, da porabijo čas za razčlenjevanje neuporabne kode.
Ob tem razvijalci LLVM priznavajo, da je AI ob pravilni uporabi koristen pripomoček, ki pospešuje razvoj. Pogoji uporabe AI, potrjeni v LLVM, so deloma temelji na pravilih, ki jih je lani objavil projekt Fedora. Osnovna ideja sprejetih pravil je, da razvijalci ne smejo nalagati vzdrževalcem dela pri recenziranju kode, ki jo ustvarjajo AI asistent.
Poleg odgovornosti, omenjene v pravilih Fedora, je v pravilih LLVM uvedena zahteva po obveznem ročnem recenziranju kode, ki jo generira AI, preden je predlagana sprememba v projektu. Poleg tega mora avtor spremembe dobro razumeti posredovano kodo in biti pripravljen odgovoriti na z njo povezane vprašanja. Priporočljivo je, da se ročno sestavijo opisi za pull zahteve in ne, da se zaupajo pripravi spremljevalnega besedila AI.
Pri posredovanju spremembe, katere pomemben del je generiran z orodji AI, je treba v opombah pull zahtevka dodati informacije o uporabi AI, na primer z navedbo oznake 'Assisted-by: ime AI asistenta'. Prepovedana je uporaba avtomatiziranih AI orodij, kot je integrirani AI agent @claude na GitHubu, ki izvajajo dejanja ali pošiljajo komentarje brez človeške udeležbe.
Sprejeta pravila se ne nanašajo le na kodo v zahtevkih za spremembe, temveč tudi na RFC dokumente s predlogi nove funkcionalnosti, sporočila o ranljivostih in napakah, komentarje in povratne informacije na pull zahtevke.
Dodatno se može istaknuti rešenje Daniela Stenberg-a, autora alata za preuzimanje i slanje podataka preko mreže curl, o suspenziji programa isplate novčanih nagrada za informacije o ranjivostima u Curla. Isplate nagrada će prestati krajem januara zbog obilja lažnih prijava generisanih AI asistentima i poslatih bez provere stvarnog postojanja ranjivosti.
Izveštaji sugeriraju da je tokom prvih dve nedelje januara podneto 20 prijava za nagradu koje tvrde da sadrže ranjivosti. Analiza ovih prijava pokazala je da nijedna ne prikazuje stvarne ranjivosti. Autorima izveštaja o ranjivostima preporučuje se da ne prijavljuju problem ako ga ne razumeju i ne mogu da reprodukuju grešku. Provera ovakvih prijava troši mnogo vremena timu zaduženom za bezbednost. Pretpostavlja se da će prestanak isplate nagrada smanjiti motivaciju ljudi da šalju lažne i slabo proverene izveštaje o ranjivostima, bez obzira da li su generisani AI-jem ili ne.
Dodatek: O ograničenju prijema prijava za isplatu nagrada za otkrivanje ranjivosti obavestio je i projekat Node.js, koji će sada primati na HackerOne samo prijave od učesnika sa visokim rejtingom, koji već imaju iskustvo u slanju ispravnih izveštaja o problemima (signal > 1). Kao razlog promene navodi se značajan porast broja niskokvalitetnih prijava. Razmatranje lažnih prijava troši vreme i resurse koji se mogli usmeriti na stvarni rad na povećanju bezbednosti platforme. Od 15. decembra do 15. januara projekat je primio više od 30 takvih prijava.
Izvor: opennet.ru
