Богатырёва о цифре

🤖 OpenAI решила патчить open-source, но так ли это безопасно для нас? OpenAI запустила инициативу Patch the Planet — с помощью своих ИИ-инструментов компания будет искать и исправлять уязвимости в open-source-проектах. На первом этапе к программе подключили 19 проектов, включая cURL, Go, Python, ядро Linux, FreeBSD и OpenBSD. И уже нашлись сотни ошибок и десятки готовых исправлений. В отличие от типичных программ автоматического поиска, здесь обещают полный цикл: от обнаружения до готового патча и его интеграции в кодовую базу. Обсудила создание нашего аналога технологии вместе с Валерием Коржовым из TAdviser. 🔍 Насколько это полезно или опасно для России? С одной стороны, это приятный бесплатный бонус. Огромная часть российского ПО базируется на импортном open-source (те же отечественные дистрибутивы Linux используют множество библиотек). Глобальное повышение безопасности open-source автоматически улучшает и безопасность российских систем. Мы получаем готовые патчи фактически бесплатно. С другой — возникают риски. Компания, которая первой находит уязвимости, получает возможность использовать их в своих интересах до того, как патчи станут публичными. Нет гарантий, что в предлагаемые исправления не внедрены скрытые закладки. Поэтому каждое исправление от OpenAI требует тщательной проверки российскими специалистами перед внедрением. Раньше такие проверки тоже делали, но с масштабированием сервиса количество патчей и проверок разительно возрастет — а это уже серьезная нагрузка на человеческие ресурсы. ⛏ Можно ли в России сделать нечто подобное? Технически — да. Но ресурсно это крайне сложно. Нужны колоссальные вычислительные мощности и большой штат квалифицированных специалистов. Из российских компаний такой потенциал есть разве что у «Сбера» и «Яндекса» — и то в гораздо меньшем масштабе, чем у OpenAI. Важно и другое: в России пока нет единого репозитория открытого кода, аналогичного GitHub, что сильно усложняет системный анализ. Но если российский аналог GitHub все-таки появится (о чем сообщалось ранее), интеграция с ИИ-инструментами для поиска уязвимостей стала бы логичным и крайне востребованным шагом. 💬 Как это изменит open-source-сообщество? Open-source рискует попасть в новую зависимость — теперь уже от американских ИИ-гигантов. Раньше open-source позиционировался как независимая экосистема. Но если патчи от OpenAI станут эффективными и массовыми (а первые результаты уже впечатляют), у разработчиков появится соблазн полагаться на них, а не развивать собственные компетенции. Контроль над тем, какие уязвимости закрываются в первую очередь, а какие остаются открытыми, фактически перейдет к корпорации. При этом инициатива решает реальную проблему: сопровождающие open-source-проектов захлебываются в потоке сообщений об уязвимостях, но у них нет ресурсов, чтобы все это быстро обрабатывать. OpenAI предлагает не просто находить ошибки, а доводить дело до готовых патчей. Главный долгосрочный вопрос: останется ли open-source независимым, или OpenAI будет подсаживать мейнтейнеров на «иглу» своего сервиса? ⏺«Богатырева о цифре» в Максе