// COMPUTERBASE — INTELLIGENZA ARTIFICIALE
„Lawine an Schwachstellen-Berichten“: Hinweise und AI-Slop überlasten Open-Source-Entwickler
Moderne KI-Tools können Open-Source-Entwicklern helfen, laut einer Umfrage der Linux Foundation lässt sich damit etwa die Zeit halbieren, die für das Coding erforderlich ist. Aufgefressen wird der Gewinn aber von der schieren Masse an Hinweisen samt dem AI-Slop. Projekte wie Curl reagieren nun.
Curl-Entwickler Daniel Stenberg spricht in seinem Blog von einer „Lawine an Schwachstellenberichten“, die das Projekt erreichen. Ein Ende sei in den kommenden Monaten nicht in Sicht, schon jetzt sei das Team am Limit. „Wir haben als Projekt zu kämpfen, denn alle zentralen Maintainer fühlen sich ausgelaugt, überlastet und an die Grenze dessen gebracht, was wir noch leisten können“, so Stenberg.
Die Konsequenz: Ab dem 26. Oktober sollen im privaten HackerOne-Tracker des Teams nur noch Schwachstellen aufgenommen werden, die als hoch oder kritisch eingestuft werden. Sicherheitslücken im Bereich Medium und Low sollen öffentlich im GitHub-Repository eingereicht werden.
Mit der angepassten Richtlinie hofft Stenberg, den Aufwand für das Curl-Team zu reduzieren. Indem weniger gravierende Sicherheitslücken öffentlich sind, können sich mehr Interessierte beteiligen. Angreifer haben zwar auch einen Zugang und erhalten damit Zeit für Angriffe. „Das ist bedauerlich“, so Stenberg, „aber wir sehen keinen Weg, um das zu vermeiden.“
Aus diesem Grund beschränke man das Vorgehen auf Schwachstellen unterhalb der High-Stufe. „Diese Probleme sind zumindest nicht gravierend“, so Stenberg. 90 Prozent der Hinweise liegen ohnehin unter High.
Laut Stenberg diskutierte man das Risiko, versehentlich einen Hinweis auf eine kritische Sicherheitslücke zu veröffentlichen. Er teilt die Einschätzung aber nicht. Immerhin wäre es auch jetzt schon möglich, dass jemand kritische Sicherheitslücken nicht einreicht, sondern direkt veröffentlicht.
Bei den Befunden registriert er einen Trend: Viele der neuen Berichte basieren auf Analysen, bei denen KI-Modelle verrückte Abfolgen oder Kombinationen von Optionen austesten, die zu etwas Unerwartetem führen. Solche Probleme treten in der realen Welt laut Stenberg praktisch nicht auf, weil das Vorgehen zu abwegig sei.
Curl ist mit der Überlastung nicht allein. Stenbergs Aussagen passen zur Studie der Linux Foundation, die von Red Hat finanziert wird. Befragt wurden 234 Open-Source-Entwickler und -Maintainer. Insgesamt melden 59 Prozent der Befragten, dass sie seit dem KI-Aufschwung mehr Hinweise erhalten. Mehr ist es bei großen Projekten, der Anteil liegt hier bei 69 Prozent. Damit benötigen die Entwickler mehr Zeit für Code-Reviews. „Maintainer-Burnout“ beschreiben 64 der Befragten nun als größte Sorge.
25 Prozent der Pull Requests, die Open-Source-Projekte erhalten, sind Schätzungen der Maintainer zufolge AI Slop. Bei größeren Projekten steigt der Anteil auf 31 Prozent. Es gibt also nicht nur eine „Lawine an Schwachstellen“, wie Sternberg schreibt. Ein großer Anteil ist minderwertiger Schrott, der aussortiert werden muss.