تعهد ۱۲.۵ میلیون دلاری غول‌های فناوری به OpenSSF برای زیرساخت امنیتی متن‌باز مبتنی بر هوش مصنوعی

زیرساخت دیجیتالی که پرداخت‌های آنلاین شما را پردازش می‌کند، سوابق پزشکی شما را ایمن می‌سازد و ارتباطات روزمره شما را هدایت می‌کند، بر پایه‌ای شکننده استوار است: نرم‌افزار متن‌باز که توسط داوطلبان نگهداری می‌شود. سال‌هاست که این تیم‌های کوچک برای همگام شدن با الزامات امنیتی در تلاش بوده‌اند. اکنون، همان ابزارهای هوش مصنوعی که تهدید می‌کنند با گزارش‌های خودکار باگ، این تیم‌ها را در هم می‌کوبند، برای کمک به مقابله با این وضعیت به کار گرفته شده‌اند.[3]

ائتلافی از شرکت‌های بزرگ فناوری – از جمله خدمات وب آمازون (AWS)، آنتروپیک (Anthropic)، گیت‌هاب (GitHub)، گوگل (Google)، مایکروسافت (Microsoft) و اوپن‌ای‌آی (OpenAI) – مبلغ ۱۲.۵ میلیون دلار کمک مالی به بنیاد لینوکس متعهد شده‌اند. این سرمایه‌گذاری که توسط بنیاد امنیت متن‌باز (OpenSSF) و پروژه آلفا-امگا (Alpha-Omega) مدیریت می‌شود، برای ایجاد یک زیرساخت امنیتی پایدار و مبتنی بر هوش مصنوعی برای اکوسیستم متن‌باز طراحی شده است.[1][4]

این اعلامیه به شدت به عنوان یک دفاع پیشگیرانه در برابر تهدیدات سایبری در حال تکامل تبلیغ می‌شود، اما در اصل پاسخی است به بحرانی که خود صنعت فناوری آن را تسریع کرده است.

مدل‌های بنیادی مانند کلود ۴.۶ (Claude 4.6) آنتروپیک و ابزارهای داخلی دیپ‌مایند (DeepMind) گوگل اکنون قادرند پایگاه‌های کد عظیم را اسکن کرده و آسیب‌پذیری‌ها را با سرعت بی‌سابقه‌ای شناسایی کنند. در حالی که این قابلیت از نظر فنی چشمگیر است، منجر به سرازیر شدن سیلی از یافته‌های امنیتی خودکار به صندوق ورودی نگه‌دارندگان پروژه‌های داوطلب شده است.[2][5][6]

حجم بالای این گزارش‌ها عملاً به یک حمله محروم‌سازی از سرویس (Denial-of-Service) بر توجه انسانی تبدیل شده است. از آنجایی که مدل‌های هوش مصنوعی اغلب دچار توهم می‌شوند یا مسائل کم‌اهمیت را به عنوان حیاتی علامت‌گذاری می‌کنند، نگه‌دارندگان مجبورند ساعت‌ها را صرف تأیید ادعاهای خودکار کنند. این اصطکاک اخیراً به نقطه‌ای بحرانی رسید که نگه‌دارنده ابزار متن‌باز پرکاربرد cURL مجبور شد برنامه پاداش باگ خود را به طور کامل تعطیل کند، زیرا تحت فشار گزارش‌های بی‌کیفیت و تولید شده توسط هوش مصنوعی قرار گرفته بود.[3][6]

گرگ کروآ-هارتمن (Greg Kroah-Hartman) از پروژه هسته لینوکس (Linux kernel) خاطرنشان کرد: «کمک مالی به تنهایی مشکلاتی را که ابزارهای هوش مصنوعی امروز برای تیم‌های امنیتی متن‌باز ایجاد می‌کنند، حل نخواهد کرد.» او تأکید کرد که OpenSSF از سرمایه جدید برای ارائه منابع فعال لازم برای کمک به توسعه‌دهندگان تحت فشار استفاده خواهد کرد تا سیل گزارش‌های تولید شده توسط هوش مصنوعی را اولویت‌بندی و پردازش کنند.[1][3]

تعهد ۱۲.۵ میلیون دلاری یک محصول نرم‌افزاری نهایی نیست، بلکه مجموعه‌ای از سرمایه است که برای ساخت ابزارهای خودکار عملی اختصاص یافته است. AWS، که ۲.۵ میلیون دلار به این طرح کمک کرده است، اظهار داشت که این بودجه برای توسعه ابزارهایی استفاده خواهد شد که می‌توانند آسیب‌پذیری‌های مشروع را به طور خودکار تأیید کنند و در عین حال «آشغال‌های هوش مصنوعی» (AI slop) را که وقت توسعه‌دهندگان را تلف می‌کند، فیلتر کنند.[2]

این طرح همچنین قصد دارد کارشناسان امنیتی را مستقیماً در پروژه‌های متن‌باز حیاتی جای دهد. OpenSSF امیدوار است با همکاری با نگه‌دارندگان، قابلیت‌های امنیتی نوظهور را به طور یکپارچه در گردش کار موجود ادغام کند، به جای اینکه توسعه‌دهندگان را مجبور به پذیرش پلتفرم‌های کاملاً جدید کند. هدف این است که شیوه‌های امنیتی پیشرفته بدون ایجاد اختلال در توسعه مداوم نرم‌افزاری که هزاران برنامه پایین‌دستی به آن متکی هستند، در دسترس قرار گیرند.[1][3][5]

موفقیت نهایی طرح OpenSSF کاملاً به نحوه اجرای آن بستگی دارد. اگر ابزارهای حاصل بتوانند با موفقیت نسبت نویز به سیگنال را برای گزارش‌های آسیب‌پذیری کاهش دهند، این سرمایه‌گذاری می‌تواند یک نجات‌بخش واقعی برای توسعه‌دهندگانی باشد که اینترنت مدرن را سرپا نگه داشته‌اند. اگر صرفاً ممیزی‌های خودکار بیشتری بدون فیلتر انسانی ایجاد کند، خطر تشدید همان فرسودگی شغلی را دارد که ادعا می‌کند آن را حل می‌کند.[6]