AnswersPublished17 sources
L’IA scrive e trova più in fretta: i maintainer devono verificare tutto
Gli strumenti di IA possono accelerare la scrittura del codice e far emergere possibili bug, ma i maintainer devono ancora verificare ogni segnalazione. Secondo un sondaggio della Linux Foundation, il 25% delle pull request in arrivo è stato giudicato di bassa qualità; nei progetti grandi la quota sale al 31%.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- Gli strumenti di IA possono accelerare la scrittura del codice e far emergere possibili bug, ma i maintainer devono ancora verificare ogni segnalazione.
- Secondo un sondaggio della Linux Foundation, il 25% delle pull request in arrivo è stato giudicato di bassa qualità; nei progetti grandi la quota sale al 31%.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How is AI accelerating open-source development while overwhelming maintainers with low-quality contributions and vulnerability reports, as i. Article summary: AI is making code and potential bug reports faster to produce, but that does not make them faster to validate: the bottleneck is shifting toward maintainers’ review and security judgment. OpenSSL’s report surge and the L. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
L’intelligenza artificiale rende più semplice scrivere codice e individuare possibili bug. Ma ogni contributo o segnalazione di sicurezza va comunque esaminato: la revisione può diventare il nuovo collo di bottiglia. L’aumento delle segnalazioni ricevute da OpenSSL e un sondaggio della Linux Foundation mostrano le due facce del fenomeno: sviluppo più rapido, ma anche più materiale da valutare per chi mantiene i progetti. 1
21
OpenSSL riceve più segnalazioni, ma non tutte sono vulnerabilità
OpenSSL è una libreria software usata per proteggere le comunicazioni su Internet. La sicurezza e l’affidabilità del suo codice hanno quindi conseguenze che vanno oltre il progetto stesso. 1
5
Alla conferenza annuale del progetto, a Praga, il direttore esecutivo Matt Caswell ha riferito che tra maggio e luglio 2026 OpenSSL ha ricevuto in media 71 segnalazioni e richieste di informazioni al mese, contro le nove dello stesso periodo dell’anno precedente. Ad agosto il totale è salito a 108 richieste. 1
Questi numeri riguardano le segnalazioni e le richieste ricevute, non vulnerabilità tutte confermate. Nell’ultimo anno OpenSSL ha raccolto circa 500 segnalazioni di vulnerabilità, ma 63 hanno portato alla divulgazione di vulnerabilità. Molte erano doppioni, difetti minori o problemi che non giustificavano un avviso di sicurezza. La maggior parte delle vulnerabilità individuate con strumenti di IA era di bassa gravità, non costituita da falle gravi. Anche quando una segnalazione non porta a un problema confermato, però, valutarla richiede tempo e competenze umane. 1
3
La pressione non riguarda solo OpenSSL. Alla conferenza, anche i maintainer di Bouncy Castle e cryptlib hanno parlato di un aumento delle segnalazioni da esaminare. Megan Woods, di Bouncy Castle, ha inoltre messo in guardia dai rischi del codice crittografico scritto con l’IA: un motivo in più per trattare con cautela il codice generato. 2
3
L’IA può aiutare nell’analisi, ma non sostituisce il giudizio
Secondo il direttore tecnologico di OpenSSL, gli strumenti di IA possono essere utili per rivedere il codice, indagare le vulnerabilità segnalate e scrivere test. 3 Possono quindi affiancare il lavoro dei maintainer, ma non trasformano automaticamente un possibile problema in una falla accertata e non eliminano la necessità di una valutazione umana.
1
3
Individuare un’anomalia e verificarla sono attività diverse. Uno strumento può segnalare una parte di codice sospetta o produrre un rapporto plausibile; spetta poi ai maintainer capire se si tratta di un problema reale e rilevante e decidere come intervenire. Secondo le notizie sulla conferenza, le indagini, lo sviluppo di una correzione e la pubblicazione di un avviso di sicurezza possono richiedere dalle sei alle otto settimane. 3
Anche le pull request aumentano, e non tutte sono di qualità
Una ricerca di Linux Foundation Research, sponsorizzata da Red Hat e presentata alla conferenza All Things Open, restituisce un quadro analogo per i contributi al software open source. Nel sondaggio, i maintainer hanno stimato che il 25% delle pull request in arrivo fosse di bassa qualità, definendole “AI slop”, cioè contributi generati o assemblati con l’IA che richiedono molto lavoro prima di poter essere integrati. Nei progetti più grandi la quota sale al 31%. La ricerca ha coinvolto 234 contributor e maintainer. 20
21
Al tempo stesso, il 59% dei maintainer ha riferito un aumento dei contributi ai propri progetti. 21 Più proposte possono significare nuove idee e lavoro utile; comportano però anche più revisioni, soprattutto quando chi mantiene il progetto deve individuare e spiegare problemi che potevano essere evitati.
Sono stime raccolte tramite sondaggio, non un conteggio di tutte le pull request dell’intero ecosistema open source. Indicano comunque una sfida concreta: l’IA può ridurre lo sforzo necessario a preparare un contributo, ma non necessariamente quello che serve per stabilire se è pronto per essere integrato nel progetto. 20
21
Perché contano qualità delle segnalazioni e capacità di revisione
La scelta di Google mostra cosa può succedere quando il volume di segnalazioni cresce. Il 1° ottobre l’azienda ha sospeso la ricezione di nuove segnalazioni di vulnerabilità nei prodotti attraverso il suo Open Source Software Vulnerability Reward Program, citando l’aumento degli invii automatizzati, la stragrande maggioranza dei quali, secondo Google, non era valida. L’azienda ha promesso un aggiornamento nel primo trimestre del 2027. La pausa riguarda le segnalazioni di vulnerabilità dei prodotti a quel programma, non tutti i programmi di ricompensa per le vulnerabilità di Google. 18
Per i progetti open source, la lezione pratica è puntare su criteri di contribuzione chiari, chiedere prove riproducibili e test quando sono pertinenti e usare l’automazione per smistare le segnalazioni, non per aggirare la revisione umana. Sono indicazioni che si ricavano dai problemi descritti, non una soluzione unica prescritta dalle fonti. 1
18
21
L’IA può velocizzare la scrittura del codice e aiutare a trovare difetti potenziali. Per distribuire software affidabile servono ancora maintainer con tempo e risorse per controllare quello che ricevono.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "L’IA scrive e trova più in fretta: i maintainer devono verificare tutto"?
Gli strumenti di IA possono accelerare la scrittura del codice e far emergere possibili bug, ma i maintainer devono ancora verificare ogni segnalazione.
What are the key points to validate first?
Gli strumenti di IA possono accelerare la scrittura del codice e far emergere possibili bug, ma i maintainer devono ancora verificare ogni segnalazione. Secondo un sondaggio della Linux Foundation, il 25% delle pull request in arrivo è stato giudicato di bassa qualità; nei progetti grandi la quota sale al 31%.
Sources
axios.comA key internet security tool is getting buried in AI-generated bug reports
linuxfoundation.orgNew LF Research Survey Shows Generative AI Cuts Open Source Coding Time in Half, but 25% of Incoming Pull Requests are Considered AI Slop
mezha.netAI发现更多漏洞，OpenSSL收到的安全报告激增