AIがより多くの作業をしてくれるようになっても、人間がそれを確認しなければならないのなら、より多くの査読者が必要になります。AIモデルがコードを書いたり評価したりすることに関して上達した今、オープンソースのプロジェクトは、無視できないほど出来が良い出力に押し流される事態に直面しています。

curlプロジェクトの場合、それはAIによるスロップが減った一方で、よりもっともらしい脆弱性の報告を評価しなければならないメンテナーへの要求が増えたことを意味しています。

「ここ数カ月で、私たちはcurlプロジェクトにおけるAIスロップのセキュリティ報告を受け取らなくなりました」と、curlの創設者兼リード開発者であるDaniel Stenbergは、ソーシャルメディア 投稿の中で述べました。「それらは消えました。代わりに、AIの助けをほぼすべて受けて作られた、本当に良いセキュリティ報告が増え続けています。」

Stenbergによれば、その報告はこれまでになく速いペースで寄せられており、メンテナーにますます増える作業負荷を課しています。

Stenbergによると、この状況は他のオープンソースのメンテナーにとっても似ています。

LinuxカーネルのメンテナーであるGreg Kroah-Hartmanは最近、AIを活用したバグ報告には、スロップがより少なく、有効な懸念がより多く含まれていたことに言及しました。彼はLinuxチームが増えたボリュームへの対応を試みていると述べましたが、小規模なチームでは苦戦している可能性を示唆しました。

返却形式: {"translated": "翻訳されたHTML"}

レポートがより良いとしても、特定されている問題が、悪用できるセキュリティ上の欠陥であり、修正する必要があるとは限りません。その例として、ステンバーグはcurlのクローズされたレポートの公開リストを挙げています。多くのレポートは、たとえ何か修正する価値があるものであったとしても、その問題が深刻な脅威ではないためにクローズされています。 

例えば、curlライブラリにおけるデータ競合は、当初は、CVEにつながる可能性がある問題として議論されました。しかし最終的には、プルリクエストによって修正され、バグは単に「情報提供になる」ものだと判断されました。

• AIエージェントが業務中にしくじっても、訴える相手はいない
• i486サポート終了のパッチがLinuxカーネルのマージキューにヒット
• Anthropic、OpenClawのサブスクリプション利用を締め出す
• AIは誰でも10倍のプログラマーにするが、後片付けも10倍

ステンバーグは2024年に、AIによる“おまけみたいな”バグレポートの問題を指摘し、そして今年はさらに踏み込み、curlの脆弱性レポートに対する賞金の支払いを停止するところまで行いました。目的は、誤った、または裏付けのないレポートを提出するインセンティブを取り除くことでした。そうしたレポートは、労力を最小化しながら金銭的利益を最大化するよう設計された自動システムから来る場合もあれば、AIツールを使っている人がAIの作業を確認する義務を怠る場合もあります。

他の組織でも同様の取り組みが行われており、直近ではインターネット・バグ・バウンティ（Internet Bug Bounty）プログラムが、3月末で脆弱性に対する金銭的な賞を発行するのをやめると述べました。

「発見（ディスカバリー）の環境が変わっています」と、プログラムの運営者は、さらにNode.jsの脆弱性アワード・プログラムも終了させた発表の中で述べました。「AI支援による調査が、エコシステム全体で脆弱性の発見を拡大し、カバー範囲とスピードの両方を高めています。オープンソースにおける、発見の量と、修復（リメディエーション）能力とのバランスは、本質的にシフトしました。我々には、このプログラムが発見と修復という野心的な二つの目的を、効果的に達成できるように、コミュニティに対して責任を負っています。したがって、これらの目標をさらに推し進めるために必要となる構造とインセンティブを検討する間、提出を一時停止します。」

Linuxのメンテナーであるウィリー・タルロウは、ステンバーグの投稿に対し、Linuxカーネルチームもcurlに取り組む人たちと同様の経験をしてきたと述べて返信しました。彼は、バグレポートを作成する側に対しては、さらに確認すべきことがあると主張しています。

「LLM＋レポーターに作業のより大きな割合を担わせることで、トリアージにかかる時間を減らし、オーバーヘッドを低減するために、レポートのルールを更新する時です」と彼は言いました。

能力のあるAIツールは、ループに入っている人間の能力を増やしません。AIによる見込みの生産性向上の多くは、単にAIツールの利用者がコードレビューのコストを帳簿外に移しているだけかもしれません。®

関連記事

• AI
• オープンソース
• セキュリティ

これらに近い内容