Фонд Linux (Linux Foundation) инициировал масштабную программу по защите разработчиков свободного ПО от наплыва некорректных уведомлений об ошибках. Проект направлен на решение критической проблемы: массовой генерации низкокачественных отчетов об уязвимостях с помощью инструментов искусственного интеллекта. Инициатива получила финансовую поддержку в размере 1,5 миллиона долларов от крупнейших технологических корпораций, что подчеркивает серьезность угрозы для безопасности современных программных экосистем.
Коалиция ИТ-гигантов и роль OpenSSF
Финансирование проекта обеспечили шесть ведущих компаний индустрии, заинтересованных в стабильности открытого кода. В их число вошли Anthropic, AWS, GitHub, Google, Microsoft и OpenAI. Реализация программы возложена на организацию Open Source Security Foundation (OpenSSF), а именно на ее проект Alpha-Omega. Основная цель заключается в создании эффективных механизмов классификации и верификации входящих сообщений о багах.
- Разработка инструментов для автоматизированного отсева «шумных» отчетов;
- Создание методик быстрой приоритизации реальных угроз;
- Поддержка мейнтейнеров популярных Open Source библиотек.
Кризис доверия к автоматизированным баг-репортам
Проблема приобрела глобальный масштаб из-за доступности больших языковых моделей (LLM), которые позволяют генерировать правдоподобные, но зачастую ошибочные описания уязвимостей. Разработчики вынуждены тратить сотни часов на ручную проверку ложных срабатываний, что замедляет процесс реальной доработки ПО. Грег Кроа-Хартман, один из ключевых разработчиков ядра Linux, подчеркнул важность выделения ресурсов OpenSSF для разгрузки сообщества.
Сообщество открытого исходного кода сталкивается с наплывом автоматизированных отчетов, при этом у разработчиков не хватает эффективных инструментов для их классификации и исправления
Ситуация уже вынудила некоторые проекты пойти на радикальные меры. Например, проект cURL ранее был вынужден приостановить свою программу вознаграждений за найденные уязвимости (bug bounty) из-за избытка спама, созданного ИИ. Аналогичную обеспокоенность качеством внешних вкладов выражал и Фонд программного обеспечения Python (PSF).
Инвестиции в размере 1,5 млн долларов станут фундаментом для создания новых стандартов взаимодействия между ИИ-системами и разработчиками. В долгосрочной перспективе это должно не только избавить сообщество от информационной нагрузки, но и повысить общую кибербезопасность программных продуктов, на которых строится современная цифровая инфраструктура. Подобная консолидация усилий ИТ-гигантов и некоммерческих фондов является необходимым шагом в эпоху стремительного развития генеративного интеллекта.