谷歌不再接受AI提交的漏洞检测报告

新闻
12小时前
本文关键看点：

#01

AI提交的漏洞报告错误量过大，谷歌已停止使用；


#02

Anthropic、AWS、Microsoft和OpenAI赞助1250万美元，以提升开源软件安全性。


▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。


以下为正文


谷歌将不再接受由AI生成的提交到其资助的开源软件漏洞发现程序中。然而，它正在为一个使用AI增强开源代码安全性的独立项目提供支持。


1775806064547642.png

谷歌开源软件漏洞奖励计划团队对一些AI生成的漏洞提交的低质量表示越来越担忧，其中许多提交包含关于如何触发漏洞的虚假信息，或报告的漏洞对安全的影响微乎其微。

“为了确保我们的分流团队能够专注于最关键的威胁，我们现在将要求某些级别提供更高质量的证据（如OSS-Fuzz复现或合并补丁），以过滤掉低质量报告，并使我们能够专注于实际影响，”谷歌在一篇博客中写道。

Linux基金会也发现AI生成的漏洞提交数量令人不堪重负，并寻求包括谷歌、Anthropic、AWS、微软和OpenAI等AI公司的财务帮助来应对这一问题。它们共同为该基金会提供了1250万美元，以改善开源软件的安全性。

“仅靠资助无法解决AI工具今天对开源安全团队造成的问题，”Linux内核项目的Greg Kroah-Hartman在一篇博客中表示。 “OpenSSF拥有必要的活跃资源来支持众多项目，帮助这些超负荷的维护者处理他们当前收到的AI生成安全报告的增加。”

这些资金将由开源安全项目Alpha-Omega和开源安全基金会（OSSF）管理，并将用于提供AI工具，以帮助维护者应对AI生成提交的数量。

“我们很高兴能为数以万计的项目提供以维护者为中心的AI安全支持，这些项目为我们的世界提供动力，”Alpha-Omega的联合创始人Michael Winser表示。