LLVM-projektets utvecklare har faststÀllt regler för anvÀndning av AI-verktyg vid utveckling. Behovet av att reglera anvÀndningen av AI förklaras av den ökande mÀngden skrÀpkod som föreslÄs för inkludering i LLVM:s kodbas. SkrÀpkod hÀnvisar till Àndringar som genererats av AI-verktyg och skickats utan förstÄelse för innehÄllet, utan kontroll och med instÀllningen "maintainers mÄste sjÀlva lösa det". Denna aktivitet skapar en ökad belastning pÄ dem som underhÄller systemet och tvingar dem att lÀgga tid pÄ att reda ut vÀrdelös kod.
Samtidigt erkÀnner LLVM:s utvecklare att AI, nÀr det anvÀnds pÄ rÀtt sÀtt, Àr ett anvÀndbart verktyg som pÄskyndar utvecklingen. De villkor för anvÀndning av AI som godkÀnts av LLVM Àr delvis baserade pÄ regler som publicerades av Fedora-projektet förra Äret. Den grundlÀggande idén med de antagna reglerna Àr att utvecklare inte ska överbelasta underhÄllarna med arbetet att granska kod som skapats av AI-assistenter.
Utöver det ansvar som nÀmns i Fedras regler införs i LLVM:s regler ett krav pÄ obligatorisk manuell granskning av kod som genererats av AI innan en förÀndring föreslÄs i projektet. Dessutom mÄste den som förberett förÀndringen ha god förstÄelse för den skickade koden och vara beredd att svara pÄ relaterade frÄgor. Det rekommenderas att manuellt skriva beskrivningar till pull-förfrÄgningar istÀllet för att överlÄta förberedelsen av den följsamma texten till AI.
Vid överföring av förÀndringar dÀr en betydande del Àr genererad av AI-verktyg mÄste information om anvÀndningen av AI inkluderas i noten i pull-förfrÄgan, till exempel genom att ange taggen "Assisted-by: namn pÄ AI-assistenten". AnvÀndning av automatiserade AI-verktyg, sÄsom den AI-agent som Àr integrerad med GitHub @claude, som utför ÄtgÀrder eller skickar kommentarer utan mÀnsklig medverkan, Àr förbjuden.
De antagna reglerna gÀller inte bara kod i förfrÄgningar om förÀndringar, utan ocksÄ RFC-dokument för föreslagen ny funktionalitet, meddelanden om sÄrbarheter och fel, samt kommentarer och feedback pÄ pull-förfrÄgningar.
Det kan ocksÄ nÀmnas att Daniel Stenberg, skaparen av verktyget för att hÀmta och skicka data över nÀtverket curl, har beslutat att avsluta programmet för utbetalning av belöningar för avslöjande av sÄrbarheter i Curl. Utbetalningarna kommer att upphöra i slutet av januari pÄ grund av en ökning av skrÀpreporteringar som genereras av AI-assistenter och skickas utan kontroll av den faktiska förekomsten av sÄrbarheten.
Det rapporteras att det under de första tvÄ veckorna i januari inkommit 20 ansökningar om belöning som hÀvdar att det finns sÄrbarheter. En granskning av dessa ansökningar visade att ingen av dem upptÀckte nÄgra verkliga sÄrbarheter. Författare till sÄrbarhetsrapporter rekommenderas att inte rapportera ett problem om de inte förstÄr dess kÀrna och inte kan reproducera felet. Att granska sÄdana ansökningar tar mycket tid för teamet som ansvarar för sÀkerheten. Det förvÀntas att avslutandet av belöningarna kommer att minska motivationen för folk att skicka skrÀpreporteringar, oavsett om de Àr genererade i AI eller inte.
TillÀgg: Projektet Node.js har ocksÄ meddelat om en begrÀnsning av mottagandet av ansökningar om belöningar för att identifiera sÄrbarheter, och kommer nu endast att acceptera ansökningar frÄn högre bedömda deltagare, som redan har erfarenhet av att skicka korrekta problemrapporter (signal > 1). Anledningen till denna förÀndring anges vara den betydande ökningen av lÄgt kvalitativa ansökningar. Granskningen av skrÀpreporteringar tar tid och resurser som kunde ha anvÀnts för faktisk sÀkerhetsarbete. FrÄn 15 december till 15 januari tog projektet emot fler Àn 30 sÄdana ansökningar.
KĂ€lla: opennet.ru
