AnswersPublished17 sources
Коду й повідомлень про помилки стає більше — часу на перевірку ні
OpenSSL отримує більше повідомлень про безпеку, але кожне потребує людської перевірки, а більшість поданих звітів не стають оприлюдненими вразливостями. За опитуванням Linux Foundation, низькоякісними вважають 25% pull request’ів, а у великих проєктах — 31%.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- OpenSSL отримує більше повідомлень про безпеку, але кожне потребує людської перевірки, а більшість поданих звітів не стають оприлюдненими вразливостями.
- За опитуванням Linux Foundation, низькоякісними вважають 25% pull request’ів, а у великих проєктах — 31%.
- ШІ може допомагати з аналізом коду й тестами, але не замінює рішення мейнтейнерів про те, чи готовий внесок до злиття.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How is AI accelerating open-source development while overwhelming maintainers with low-quality contributions and vulnerability reports, as i. Article summary: AI is making code and potential bug reports faster to produce, but that does not make them faster to validate: the bottleneck is shifting toward maintainers’ review and security judgment. OpenSSL’s report surge and the L. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Штучний інтелект спрощує написання коду й допомагає знаходити потенційні помилки. Але кожен внесок у проєкт або повідомлення про вразливість усе одно має хтось перевірити. Саме ця робота може стати вузьким місцем: даних для оцінювання більшає швидше, ніж у мейнтейнерів з’являється час на їхню перевірку. 1
21
OpenSSL отримує дедалі більше повідомлень
OpenSSL — програмне забезпечення, яке використовують для захисту інтернет-комунікацій. Тож якість і безпека його коду важливі далеко за межами самого проєкту. 1
5
На щорічній конференції проєкту в Празі виконавчий директор OpenSSL Метт Касвелл повідомив: із травня до липня 2026 року команда в середньому отримувала 71 звіт про безпеку та запит на місяць. Роком раніше за той самий період таких звернень було дев’ять на місяць. У серпні їхня кількість зросла до 108. 1
Ці цифри показують загальний потік повідомлень і запитів, а не кількість підтверджених вразливостей. За попередній рік OpenSSL отримав близько 500 звітів про потенційні вразливості, але лише 63 з них завершилися оприлюдненням вразливостей. Серед інших звернень були дублікати, незначні дефекти або проблеми, які не вимагали публікації рекомендації з безпеки. Та навіть такі повідомлення потрібно опрацювати. Більшість вразливостей, виявлених за допомогою ШІ, були незначними, а не серйозними загрозами. 1
3
Зі схожим навантаженням зіткнулися й мейнтейнери Bouncy Castle та cryptlib: на конференції вони також розповіли про збільшення кількості звітів для перевірки. Меган Вудс із Bouncy Castle окремо застерегла щодо ризиків криптографічного коду, створеного ШІ. 2
3
ШІ може допомагати, але не підміняє оцінку фахівців
За словами технічного директора OpenSSL, ШІ може бути корисним для перевірки коду, дослідження повідомлень про вразливості та написання тестів. 3 Це інструменти, які підтримують роботу мейнтейнерів, але не перетворюють підозру на підтверджену вразливість і не скасовують потреби в людській оцінці.
1
3
Знайти можливу проблему — не те саме, що підтвердити її. Інструмент може позначити підозрілу ділянку коду або сформувати переконливий звіт, але мейнтейнерам потрібно з’ясувати, чи йдеться про реальну проблему, наскільки вона важлива і як на неї реагувати. За повідомленням із конференції, розслідування, підготовка виправлення й публікація рекомендації з безпеки можуть тривати від шести до восьми тижнів. 3
Опитування Linux Foundation показує ту саму проблему з внесками
Дослідження Linux Foundation Research, спонсороване Red Hat і представлене на конференції All Things Open, виявило схожу напругу між швидшим створенням коду та зростанням навантаження на тих, хто його перевіряє. Мейнтейнери оцінили 25% отриманих pull request’ів як низькоякісний «AI slop» — внески, згенеровані ШІ, які потребують суттєвого доопрацювання. У великих проєктах частка зросла до 31%. В опитуванні взяли участь 234 розробники й мейнтейнери відкритого коду. 20
21
Водночас 59% мейнтейнерів повідомили, що кількість внесків до їхніх проєктів зросла. 21 Нові внески можуть принести корисні зміни й залучити учасників, але їхній більший потік означає й більше роботи з перевірки — особливо коли в коді потрібно знаходити та пояснювати недоліки.
Це оцінки учасників опитування, а не підрахунок усіх pull request’ів у кожному проєкті з відкритим кодом. Однак вони вказують на практичну проблему: ШІ може спростити підготовку внеску, але не обов’язково зменшує зусилля, потрібні, щоб вирішити, чи готовий той до злиття. 20
21
Чому важливі якість подань і спроможність їх перевіряти
Приклад Google показує, як потік звернень може впливати на програми винагороди за пошук помилок. 1 жовтня компанія призупинила приймання нових повідомлень про вразливості продуктів у межах своєї програми винагород за вразливості програмного забезпечення з відкритим кодом. Причиною стало зростання кількості автоматизованих подань, переважна більшість яких, за словами Google, була недійсною. Компанія пообіцяла надати оновлення в першому кварталі 2027 року. Пауза стосувалася саме повідомлень про вразливості продуктів у цій програмі, а не всіх програм Google з пошуку вразливостей. 18
Для проєктів із відкритим кодом із цих прикладів випливають кілька практичних кроків: чітко пояснювати вимоги до внесків, просити відтворювані докази й тести там, де це доречно, а автоматизацію використовувати для первинного сортування — не для обходу людської перевірки. Це можливі висновки з наведених даних, а не єдиний приписаний ними спосіб розв’язати проблему. 1
18
21
ШІ може прискорити написання коду й пошук потенційних дефектів. Але надійність програмного забезпечення й далі залежить від того, чи мають мейнтейнери час і ресурси перевірити те, що надходить до проєкту.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Коду й повідомлень про помилки стає більше — часу на перевірку ні"?
OpenSSL отримує більше повідомлень про безпеку, але кожне потребує людської перевірки, а більшість поданих звітів не стають оприлюдненими вразливостями.
What are the key points to validate first?
OpenSSL отримує більше повідомлень про безпеку, але кожне потребує людської перевірки, а більшість поданих звітів не стають оприлюдненими вразливостями. За опитуванням Linux Foundation, низькоякісними вважають 25% pull request’ів, а у великих проєктах — 31%.
What should I do next in practice?
ШІ може допомагати з аналізом коду й тестами, але не замінює рішення мейнтейнерів про те, чи готовий внесок до злиття.
Sources
axios.comA key internet security tool is getting buried in AI-generated bug reports
linuxfoundation.orgNew LF Research Survey Shows Generative AI Cuts Open Source Coding Time in Half, but 25% of Incoming Pull Requests are Considered AI Slop
mezha.netAI发现更多漏洞，OpenSSL收到的安全报告激增