როგორ ხდება ყალბი უსაფრთხოების ანგარიშები ღია კოდის პროექტების ჭაობში, AI-ის წყალობით

პატჩის სპამი შეიცავს კოდს, რომელიც არასწორია და არაფუნქციურია. კიდევ უფრო უარესი: მას შეუძლია შემოიღოს ახალი დაუცველობა ან უკანა მხარეს. რა არის დეველოპერი?

თქვენ იფიქრებთ, რომartificial intelligence (AI) არის boon დეველოპერებისთვის. ყოველივე ამის შემდეგ, Google- ის ბოლოდროინდელმა გამოკითხვამ აჩვენა, რომ პროგრამისტების 75% ეყრდნობა AI- ს. მეორეს მხრივ, თითქმის 40% აცხადებს, რომ AI- ს "მცირე ან საერთოდ არ ენდობა". ღია კოდის პროექტის შემნარჩუნებლები - ადამიანები, რომლებიც მართავენ პროგრამულ უზრუნველყოფას - შეუძლიათ გაიგონ ეს ფაქტი.

ბევრი AI LLM ვერ უზრუნველყოფს გამოსადეგი კოდი

პირველ რიგში, AI დიდი ენის ბევრ მოდელს (LLMs) არ შეუძლია გამოსადეგი კოდის მიწოდება მარტივი პროექტებისთვისაც კი. თუმცა, ბევრად უფრო შემაშფოთებელია ის, რომ ღია წყაროს შემნარჩუნებლები აღმოაჩენენ, რომ ჰაკერები იარაღს უკეთებენ AI- ს ღია კოდის პროექტების საფუძვლების შელახვის მიზნით.

როგორც გრეგ კროაჰ-ჰარტმანი, Linux სტაბილური ბირთვის შემნარჩუნებელი, რომელიც დაფიქსირდა 2024 წლის დასაწყისში, საერთო დაუცველობა და ექსპოზიცია (CVE), უსაფრთხოების ხვრელების სამაგისტრო სია, "ბოროტად იყენებენ უსაფრთხოების დეველოპერებს, რომლებიც ცდილობენ თავიანთი რეზიუმეების დადებას." ისინი წარადგენენ ბევრ "სულელურ ნივთს". ეს უსაფრთხოების ხვრელები შეფასებულია მათი საშიშობის დონით საერთო დაუცველობის შეფასების სისტემის (CVSS) გამოყენებით.

კიდევ უფრო უარესი, როგორც დენ ლორენიჩმა, უსაფრთხოების კომპანიის Chainguard- ის აღმასრულებელმა დირექტორმა, აღნიშნა, რომ ეროვნული დაუცველობის მონაცემთა ბაზა (NVD), რომელიც ზედამხედველობას უწევს CVE- ს, დაუმთავრებელი და გადატვირთულია, ასე რომ, ჩვენ შეგვიძლია "ველოდოთ ჩანაწერებისა და ცრუ ნეგატივების მასიურ ჩამორჩენას".

ძვირფასი დროის დაკარგვა ყალბი უსაფრთხოების საკითხებზე

მთავრობის თანამშრომლების მიერ NVD- ის მშობელი ორგანიზაციისთვის მოსალოდნელია, ხელოვნური ინტელექტის გენერირებული უსაფრთხოების ანგარიშების ეს წყალდიდობა მხოლოდ CVE სიებში გაიზრდება. ეს, თავის მხრივ, ნიშნავს პროგრამისტებს, შემნარჩუნებლებს და მომხმარებლებს ყველა უნდა დაკარგონ ღირებული დრო ყალბი უსაფრთხოების საკითხებზე.

ზოგიერთი ღია კოდის პროექტი, როგორიცაა Curl, მთლიანად უარი თქვა CVE- ებზე. როგორც დანიელ სტეინბერგმა, Curl- ის ლიდერმა, თქვა: "CVSS ჩვენთვის მკვდარია".

რჲი ვ ეალვფ ჲრ ვეთნჟრგვნთწრ, ჱა ეა გთეთ რაჱთ ოპჲბლვმ.

სეთ ლარსონმა, პითონის პროგრამული უზრუნველყოფის ფონდის უსაფრთხოების დეველოპერმა, დაწერა: "ბოლო დროს, მე შევამჩნიე ძალიან დაბალი ხარისხის, სპამის და LLM- ჰალუცინირებული უსაფრთხოების ანგარიშები ღია კოდის პროექტებში. საკითხი ისაა, რომ LLM- ების ასაკში, ეს ანგარიშები ერთი შეხედვით ჩანს, რომ პოტენციურად ლეგიტიმურია და, შესაბამისად, დრო სჭირდება უარყოფისთვის." ლარსონი თვლის, რომ ეს slop ანგარიშები "უნდა განიხილებოდეს, თითქოს ისინი მავნეა".

პატჩები, რომლებიც შემოაქვთ ახალი დაუცველობა ან უკანა მხარეს

რატომ? იმის გამო, რომ ეს პატჩები, ერთი შეხედვით ლეგიტიმური გამოჩენისას, ხშირად შეიცავს კოდსეს არის სრულიად არასწორი და არაფუნქციური. უარეს შემთხვევაში, ეს პატჩები იქნება, ღია წყაროს უსაფრთხოების ფონდი (OpenSSF) პროგნოზირებს, გააცნობს ახალ დაუცველობას ან უკანა მხარეს.

ყალბი პატჩებისა და უსაფრთხოების ანგარიშების გარდა, AI გამოიყენება სხვადასხვა ღია კოდის საცავებში ფუნქციის მოთხოვნების წარღვნის შესაქმნელად. ეს მოთხოვნები, მიუხედავად იმისა, რომ ზოგჯერ ინოვაციური ან გამოსადეგია, ხშირად არაპრაქტიკული, არასაჭირო ან უბრალოდ შეუძლებელია განხორციელება. ამ გენერირებული მოთხოვნების დიდი მოცულობა გადალახავს შემნარჩუნებლებს, რაც ართულებს მომხმარებლის ნამდვილი საჭიროებების გარჩევას ხელოვნური ხმაურისგან.

ჯეფ პოტლიუკი, Apache Airflow- ის შემნარჩუნებელი, ღია კოდის სამუშაო პროცესის მართვის პლატფორმა, იტყობინება, რომ Outlier AI კომპანიამ მოუწოდა თავის წევრებს განათავსონ საკითხები პროექტზე "რომ აზრი არ აქვს და არც სხვა საკითხების ასლებია, ან სრულიად უსარგებლო და აზრი არ აქვს. ამას მნიშვნელოვანი დრო სჭირდება შემნარჩუნებლებისთვის, რომლებმაც უნდა შეაფასონ და დახურონ საკითხები. ჩემი გამოძიება თვალყურს ადევნებდა თქვენ, როგორც პრობლემების წყაროს- სადაც თქვენი სასწავლო ვიდეოები ხალხს ატყუებს ამ საკითხების შექმნაში, როგორც ჩანს, გაწვრთნა თქვენი AI.

ეს AI-ზე ორიენტირებული საკითხები ასევე დაფიქსირდა Curl-სა და React-ში. პოტლიუკის ციტირებისთვის: "ეს არასწორია ამდენი დონეზე. მჲლწ რვ, ჟოპთ. თქვენ საზოგადოებას აძლევთ მომსახურებას.

ყალბი წვლილი

ამ ყალბი წვლილის მოტყუების მექანიკა სულ უფრო დახვეწილი ხდება. AI მოდელებს ახლა შეუძლიათ აწარმოონ კოდის ფრაგმენტები, რომლებიც, მიუხედავად იმისა, რომ არაფუნქციურია, სინტაქსურად სწორი და კონტექსტურად აქტუალურია. გარდა ამისა, AI ქმნის დეტალურ განმარტებებს, რომლებიც მიბაძავს ნამდვილი კონტრიბუტორის ენასა და სტილს. OpenSSF- ის თანახმად, დაზიანების შეურაცხყოფას მატებს, ზოგიერთი თავდამსხმელი იყენებს AI- ს ყალბი ონლაინ იდენტობის შესაქმნელად, სრული GitHub ისტორიებით, რომლებიც შეიცავს ათასობით მცირე, მაგრამ ერთი შეხედვით ლეგიტიმურ წვლილს.

ამ AI-ზე ორიენტირებული ღია კოდის სპამის კამპანიის შედეგები შორს არის. გარდა იმისა, რომ შემნარჩუნებლები კარგავენ დროს ყალბი წვლილის მეშვეობით და გამოაშკარავებით, AI- ის მიერ გენერირებული სპამის ეს შემოდინება ძირს უთხრის ნდობას, რომელიც ქმნის ღია კოდის თანამშრომლობის საყრდენს.

მკაცრი სახელმძღვანელო მითითებები და გადამოწმების პროცესები

ღია წყაროს საზოგადოება ამ საფრთხის წინაშე უსაქმოდ არ დგას. პროექტები ახორციელებს უფრო მკაცრ შენატანის მითითებებს და გადამოწმების პროცესებს AI-ის მიერ გენერირებული კონტენტის გასაქრებლად. გარდა ამისა, შემნარჩუნებლები იზიარებენ გამოცდილებას და საუკეთესო პრაქტიკას AI- ის გენერირებული კოდის სპამის იდენტიფიცირებისა და გამკლავებისთვის.

ვინაიდან ღია კოდის პროექტებში AI-ის მიერ გენერირებული მოტყუების წინააღმდეგ ბრძოლა გრძელდება, საზოგადოება კრიტიკული გამოწვევის წინაშე დგას: ღია წყაროს განვითარების ერთობლივი სულისკვეთების შენარჩუნება, ხოლო მანიპულირების სულ უფრო დახვეწილი და ავტომატური მცდელობებისგან დაცვა.

როგორც ღია კოდის პროგრამისტმა ნავენდუ პოტეკკატმა დაწერა: "გთხოვთ, ნუ გადააქცევთ ამას "მოდით სპამის ღია კოდის პროექტების" დღესასწაულად." გთხოვთ, არა. თუ თქვენ აფასებთ ღია წყაროს, ნუ ითამაშებთ AI თამაშებს მასთან.