随着生成式 AI 模型的普及，开源软件的安全报告领域正面临一个新的挑战：由大语言模型（LLM）生成的低质量、垃圾邮件式的漏洞报告。这种现象不仅增加了维护者的负担，还可能对整个开源社区的安全工作产生负面影响。
问题的现状
Python 软件基金会的安全开发者 Seth Larson 在最近的一篇博客文章中表达了对这一问题的关注。他指出，近期向开源项目提交的低质量、由 AI 生成的安全报告显著增加。这些报告乍一看似乎可能是合法的，因此需要时间来反驳和评估，浪费了维护者宝贵的时间。
Curl 项目的维护者 Daniel Stenberg 也在12月8日发布的一个漏洞报告中表达了类似的困扰。尽管他在去年就已经提出了这个问题，但仍然不断收到“AI 垃圾”报告，并在与一个可能是部分或完全自动化的漏洞提交者争论中浪费了大量时间。Stenberg 强调，这些报告不仅增加了维护者的负担，还可能导致他们对真正的安全问题反应迟缓。
为什么这是一个问题？
- 浪费志愿者时间：许多开源项目的维护者是志愿者，他们的时间和精力非常有限。处理大量的低质量报告会让他们无暇顾及真正重要的安全问题，最终可能导致维护者的倦怠或离开。
- 误导性和虚假信息：AI 生成的报告往往缺乏深度和技术准确性，可能会误导维护者和其他开发者。这些报告可能会声称存在并不存在的安全漏洞，导致不必要的恐慌和资源浪费。
- 信任问题：频繁收到低质量的报告会削弱维护者对所有提交的信任，使得他们更加谨慎地对待每一个报告，进一步降低了效率。
- 潜在的滥用风险：如果 AI 生成的报告被恶意利用，可能会成为一种攻击手段，例如通过提交虚假漏洞报告来分散维护者的注意力，从而掩盖真正的攻击行为。
社区的回应与建议
Seth Larson 和其他维护者呼吁采取措施，以减轻 AI 生成的低质量报告带来的影响：
- 不要依赖 AI 进行漏洞挖掘：Larson 强调，漏洞猎手们应该避免使用 AI 系统进行漏洞挖掘。当前的 AI 模型还不具备足够的能力来理解代码中的复杂逻辑和潜在的安全问题。人类验证仍然是确保漏洞报告质量的关键。
- 平台应限制自动或滥发报告：代表维护者接受漏洞报告的平台（如 GitHub、GitLab 等）应采取措施，限制自动或滥发的安全报告。这可以通过引入更严格的审核机制、限制提交频率或要求更多的上下文信息来实现。
- 提高开源安全的规范化：Larson 认为，开源社区需要从根本上改变其处理安全问题的方式。他建议更多可信赖的个人参与到开源项目中，特别是那些有安全背景的人。资金支持和捐赠的工作时间也是帮助维护者更好地应对安全挑战的重要途径。
- 教育和培训：社区应加强对开发者的教育和培训，帮助他们了解如何正确提交高质量的漏洞报告。这包括提供清晰的指南和最佳实践，确保每个报告都经过充分的调查和验证。
-
建立更好的沟通渠道：维护者和漏洞提交者之间应建立更有效的沟通渠道，确保双方能够快速、清晰地交流。这可以帮助减少误解和不必要的争论，提高处理漏洞的效率。
0条评论