No 1. augusta GNOME atklās katru tam pieteikto drošības kļūdu 30 dienas pēc ziņojuma saņemšanas, nevis pēc 90 dienām kā līdz šim. Termiņu par diviem mēnešiem saīsināja projekta drošības koordinators Maikls Katancaro (Michael Catanzaro), un iemesls ir tiešs: mākslīgā intelekta radīti kļūdu ziņojumi aizņem arvien lielāku daļu no visa, kas nonāk GNOME drošības reģistrā.
Jaunais termiņš attiecas uz ziņojumiem, kas pieteikti 1. augustā vai vēlāk. Iepriekš saņemtajām kļūdām paliek spēkā vecais 90 dienu logs, tāpēc pēdējie no tiem noslēgsies tikai novembra beigās.
Termiņš nosaka, cik ilgi kļūda paliek slēgta. GNOME uztur centrālu drošības reģistru, kurā ziņojumi sākotnēji ir privāti. Kad termiņš beidzas, ieraksts kļūst publisks neatkarīgi no tā, vai kļūda ir izlabota. Tā ir koordinētās atklāšanas ideja: uzturētājam dod laiku salabot, bet ne bezgalīgi, lai informācija galu galā nonāk pie visiem, kam tā vajadzīga.
Kāpēc 90 dienas bija par garu
Katancaro savā blogā raksta, ka GNOME uzturētāji rīkojas divējādi: kļūdu izlabo pirmajās vienā līdz trīs nedēļās vai neizlabo vispār. Pārējais laiks aiziet tukšā. 90 dienu logs ir nozares standarts, ko izmanto arī Google Project Zero, taču GNOME gadījumā tas nedeva neko papildus — labojumi nāca ātrāk, bet reģistrs turēja informāciju slēgtu vēl divus mēnešus pēc tam. Project Zero gadījumā garais termiņš ir vērsts pret lieliem ražotājiem, kuriem labojums var prasīt mēnešus; GNOME uzturētāji strādā citā mērogā, un tur tāds buferis nav vajadzīgs.
Ziņojumu turēšana slepenībā 90 dienas rada tikai kavēšanos, kas nav noderīga.
Saīsinātais termiņš nemaina to, kā uzturētāji labo kļūdas. Tas maina to, cik ilgi kļūda paliek nezināma pārējiem — izplatītājiem, kas veido pakotnes, un lietotājiem, kas gaida drošības atjauninājumu. Ātrāka atklāšana nozīmē, ka Debian, Fedora un citu distribūciju veidotāji uzzina par problēmu drīzāk.
AI ziņojumi pārpludina reģistru
Katancaro atzīmē, ka drošības ziņojumi, kurus nav atradis mākslīgais intelekts, kļūst arvien retāki. Tieši tāpēc GNOME nolēma nenošķirt AI un cilvēka rakstītos ziņojumus — atsevišķa procedūra būtu bezjēdzīga, ja gandrīz viss tāpat nāk no automātiskiem rīkiem. Viens 30 dienu termiņš attiecas uz visu.
Problēma nav pati automatizācija, bet triāžas izmaksas. Automātiski rīki ģenerē ziņojumus ātrāk, nekā uzturētāji spēj tos pārbaudīt, un liela daļa izrādās kļūdaini vai atkārto jau zināmu problēmu. Katrs ziņojums tik un tā prasa cilvēka laiku, lai izlemtu, vai tas ir īsts. Īsāks termiņš neatrisina plūdu problēmu, taču vismaz neļauj kaudzei augt gadiem ilgi — lietas aizveras ātrāk, un reģistrs paliek pārskatāmāks.
Daži atvērtā koda projekti izvēlējušies bargāku ceļu. Linux kodola komanda nekavējoties publisko ziņojumus, kas šķiet AI ģenerēti. Katancaro šo pieeju noraidīja. Pēc viņa vārdiem, tā ir pārāk skarba un netaisnīga pret uzturētājiem, kuri var justies spiesti steigā labot kļūdu, kas varbūt nemaz nav īsta.
Kas mainās GNOME apakšprojektiem
Vairākiem GNOME projektiem ir noteikumi, kas aizliedz AI radītu saturu ieguldījumos. Līdz šim šāda projekta drošības kļūda tik un tā tika pārsūtīta uzturētājiem, kas radīja pretrunu ar paša projekta politiku. Turpmāk GNOME šādus ziņojumus slēgs centrālajā drošības reģistrā un tikai paziņos uzturētājiem par to esamību.
Praksē tas nozīmē, ka projekti tiek aicināti pievienot savai AI satura politikai atsevišķu izņēmumu drošības kļūdām. Ja to neizdara, AI atrasta ievainojamība var palikt bez rīcības tikai tāpēc, ka to pieteica automātisks rīks. Katancaro grib, lai projekti apzināti izlemj, kā rīkoties, nevis atstāj jautājumu neatrisinātu.
Katancaro atkāpjas no drošības uzraudzības
Kopā ar termiņa izmaiņām nāk arī cita ziņa: Katancaro pārtrauc GNOME drošības uzraudzību. GNOME drošības kļūdas viņš reģistrē kopš 2020. gada novembra. No 2026. gada 1. novembra viņš vairs nepieņems jaunus ziņojumus, un līdz 1. decembrim noslēgsies visi termiņi tiem ziņojumiem, kas saņemti pirms tam. Pēc tam vieta paliks brīva.
GNOME meklē pieredzējušu kopienas dalībnieku, kas pārņemtu šo darbu. Tā ir centralizēta loma — viena persona, kas seko līdzi visām projekta drošības kļūdām un koordinē to atklāšanu. 30 dienu termiņš daļēji ir arī atbilde uz to: īsāks logs nozīmē mazāk vienlaikus atvērtu lietu, ko jaunajam koordinatoram nāksies pārvaldīt.
Izmaiņas iekļaujas plašākā ainā, par kuru ziņo Phoronix. Šogad daudzi atvērtā koda projekti saskaras ar AI ģenerētu kļūdu ziņojumu plūdiem, kas patērē uzturētāju laiku bez reāla labuma. curl izstrādātājs Daniels Stenbergs jau agrāk atklāti sūdzējās par tādiem ziņojumiem, un GNOME risinājums ir mēģinājums padarīt procesu paredzamāku, nevis vienkārši atmest visu, kas nāk no mašīnas.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.