AI让代码更容易生成，也能帮助发现潜在缺陷。但提交数量增加，不代表审核也能同步提速。OpenSSL的安全报告激增，以及Linux基金会对开源贡献者的调查，都展现了这场变化的两面：开发更快了，维护者需要评估的内容也更多了。121

OpenSSL收到更多报告，但报告不等于漏洞

OpenSSL提供用于保护互联网通信的软件，因此项目代码的安全状况影响范围远超项目本身。15

在布拉格举行的项目年度会议上，OpenSSL基金会执行董事Matt Caswell表示，2026年5月至7月，OpenSSL平均每月收到71份安全报告和咨询；一年前同期的月均数量为9份。到了8月，咨询数量达到108份。1

这些数字指的是收到的报告和咨询，并非已确认的漏洞。过去一年，OpenSSL大约收到500份漏洞报告，其中63份最终对应已披露的漏洞。许多提交是重复报告、轻微缺陷，或不足以发布安全公告的问题。AI工具发现的问题中，大多数严重程度较低，并非重大安全漏洞；但每份报告仍需要人力评估。13

审核压力并非OpenSSL独有。会议期间，Bouncy Castle和cryptlib的维护者也提到，需要处理的报告有所增加。Bouncy Castle的Megan Woods还提醒，使用AI编写密码学代码存在风险，因此对生成代码保持谨慎尤为重要。23

AI能辅助安全工作，不能代替判断

OpenSSL首席技术官表示，AI工具可以协助代码审查、调查已报告的漏洞，以及编写测试。3这些工具能为维护者提供帮助，但不能仅凭一个潜在发现就认定存在漏洞，也无法免除人工核查。13

发现问题和确认问题并不是一回事。工具可能指出可疑代码路径，或生成看起来可信的报告；维护者仍要判断问题是否真实、是否相关，以及需要采取什么措施。相关报道指出，调查漏洞、开发补丁并发布安全公告，可能需要6到8周。3

调查显示，贡献增加也带来审核负担

一项由Red Hat赞助、Linux基金会研究部门开展的调查在All Things Open大会上发布。调查显示，维护者估计，收到的拉取请求中有25%属于质量较低的“AI垃圾内容”；在大型项目中，这一比例升至31%。调查涵盖234名开源贡献者和维护者。2021

与此同时，59%的项目维护者表示，项目收到的贡献有所增加。21更多提交可能带来有价值的改进，也可能吸引新贡献者；但提交越多，审核工作也越重，尤其是当维护者还得找出问题并向贡献者说明时。

这些数字来自调查估算，并非对所有开源项目拉取请求的全面统计。不过，它们揭示了一个实际难题：AI可以降低提交代码的门槛，却不会自动减少判断代码是否适合合并所需的工作。2021

关键不只是生成得快，还要有能力审核

Google的做法说明，报告数量上升会怎样影响漏洞奖励计划。10月1日，Google暂停接收其开源软件漏洞奖励计划（OSS VRP）中的新产品漏洞提交，理由是自动化提交增加，其中绝大多数无效。Google表示计划在2027年第一季度更新情况。这次暂停针对该计划中的产品漏洞提交，并不代表Google暂停了所有漏洞奖励计划。18

对开源项目而言，现有信息指向一种较为平衡的做法：明确贡献要求；在适用时要求提供可复现的证据和测试；用自动化辅助分流，而不是绕过人工审核。这些是从相关报道中可以得出的实践方向，并非某个来源提出的唯一解决方案。11821

AI可以加快写代码、寻找潜在缺陷；但要交付可信的软件，维护者仍需要时间和支持，来判断每一项提交是否经得起检验。

AI让代码更容易生成，也能帮助发现潜在缺陷。但提交数量增加，不代表审核也能同步提速。OpenSSL的安全报告激增，以及Linux基金会对开源贡献者的调查，都展现了这场变化的两面：开发更快了，维护者需要评估的内容也更多了。121

OpenSSL收到更多报告，但报告不等于漏洞

OpenSSL提供用于保护互联网通信的软件，因此项目代码的安全状况影响范围远超项目本身。15

在布拉格举行的项目年度会议上，OpenSSL基金会执行董事Matt Caswell表示，2026年5月至7月，OpenSSL平均每月收到71份安全报告和咨询；一年前同期的月均数量为9份。到了8月，咨询数量达到108份。1

这些数字指的是收到的报告和咨询，并非已确认的漏洞。过去一年，OpenSSL大约收到500份漏洞报告，其中63份最终对应已披露的漏洞。许多提交是重复报告、轻微缺陷，或不足以发布安全公告的问题。AI工具发现的问题中，大多数严重程度较低，并非重大安全漏洞；但每份报告仍需要人力评估。13

审核压力并非OpenSSL独有。会议期间，Bouncy Castle和cryptlib的维护者也提到，需要处理的报告有所增加。Bouncy Castle的Megan Woods还提醒，使用AI编写密码学代码存在风险，因此对生成代码保持谨慎尤为重要。23

AI能辅助安全工作，不能代替判断

OpenSSL首席技术官表示，AI工具可以协助代码审查、调查已报告的漏洞，以及编写测试。3这些工具能为维护者提供帮助，但不能仅凭一个潜在发现就认定存在漏洞，也无法免除人工核查。13

发现问题和确认问题并不是一回事。工具可能指出可疑代码路径，或生成看起来可信的报告；维护者仍要判断问题是否真实、是否相关，以及需要采取什么措施。相关报道指出，调查漏洞、开发补丁并发布安全公告，可能需要6到8周。3

调查显示，贡献增加也带来审核负担

一项由Red Hat赞助、Linux基金会研究部门开展的调查在All Things Open大会上发布。调查显示，维护者估计，收到的拉取请求中有25%属于质量较低的“AI垃圾内容”；在大型项目中，这一比例升至31%。调查涵盖234名开源贡献者和维护者。2021

与此同时，59%的项目维护者表示，项目收到的贡献有所增加。21更多提交可能带来有价值的改进，也可能吸引新贡献者；但提交越多，审核工作也越重，尤其是当维护者还得找出问题并向贡献者说明时。

这些数字来自调查估算，并非对所有开源项目拉取请求的全面统计。不过，它们揭示了一个实际难题：AI可以降低提交代码的门槛，却不会自动减少判断代码是否适合合并所需的工作。2021

关键不只是生成得快，还要有能力审核

Google的做法说明，报告数量上升会怎样影响漏洞奖励计划。10月1日，Google暂停接收其开源软件漏洞奖励计划（OSS VRP）中的新产品漏洞提交，理由是自动化提交增加，其中绝大多数无效。Google表示计划在2027年第一季度更新情况。这次暂停针对该计划中的产品漏洞提交，并不代表Google暂停了所有漏洞奖励计划。18

对开源项目而言，现有信息指向一种较为平衡的做法：明确贡献要求；在适用时要求提供可复现的证据和测试；用自动化辅助分流，而不是绕过人工审核。这些是从相关报道中可以得出的实践方向，并非某个来源提出的唯一解决方案。11821

AI可以加快写代码、寻找潜在缺陷；但要交付可信的软件，维护者仍需要时间和支持，来判断每一项提交是否经得起检验。