50個開源專案給AI時代安全帶來的啟示
GitHub安全開源基金第四期投入超過50萬美元，聯合50個開源專案，透過與安全專家合作和AI輔助工作流，幫助維護者提升安全實踐。OpenClaw等專案的經驗表明，AI能加快漏洞調查與響應，但最終決策仍需維護者的判斷。
AI正在改變開源開發的速度，也帶來了前所未有的安全挑戰。維護者需要審查不熟悉的程式碼貢獻，管理新的攻擊面，並在時間和資源有限的情況下應對漏洞。GitHub安全開源基金第四期專案嘗試給出務實的答案：該專案向50個開源專案投入超過50萬美元，將維護者與GitHub安全實驗室專家、GitHub安全工具、AI輔助工作流以及同行社群連線起來。專案反覆得出一個結論——AI能幫助維護者更快地進行調查、確定優先順序並做出響應，但最終決定釋出什麼的，仍然是維護者的背景知識、判斷力和責任感。
OpenClaw之所以受邀參加第四期，是因為它是GitHub上增長最快的開源專案，其維護者希望加強專案的安全基礎。到本期結束時，OpenClaw已經制定事件響應計劃，擴充套件了GitHub安全工具的使用，審計了GitHub Actions工作流，並強化了發現和應對安全問題的流程。維護者表示，OpenClaw的經歷反映了第四期的整體情況：雖然不同專案面臨的風險各異，但維護者的共同需求是一致的——獲得知識、工具和專家支援，以便在AI改變軟體開發方式時保護好軟體。
在整個專案中，維護者把這些支援轉化成了具體的安全成果。有的專案鞏固了已有安全實踐，有的為AI相關的新風險做好準備，還有的探索如何用GitHub Copilot等工具輔助漏洞分類、威脅建模、程式碼審查和修復。這些改進不只惠及單個專案——當被廣泛使用的開源軟體變得更安全時，整個軟體生態系統都會更有韌性。
關於基金運作：GitHub安全開源基金把資金與可衡量的安全成果直接掛鉤。專案包括實踐安全教育、與GitHub安全實驗室專家直接互動，以及一個讓維護者與同行一起解決安全問題的社群。每一期都包含一個為期三週的衝刺階段，以及累計12個月的持續參與。資金和參與資格與目標導向的成果和經核實的安全改進繫結。第四期訓練按周劃分不同重點：開源安全基礎、威脅建模與安全編碼、AI安全與漏洞管理。
在資金方面，每個專案透過GitHub Sponsors獲得1萬美元，其中衝刺階段發放6000美元，6個月和12個月安全複查時各發放2000美元。專案還可以加入新的安全社群，參加GitHub安全實驗室的辦公時間，獲得可直接應用的安全資源，以及用於雲基礎設施的Azure積分。第五期申請截止日期為8月24日，同時基金也在招募新的資助或生態合作伙伴。
第四期的安全改進覆蓋了軟體生態系統的多個層面：AI、機器學習和智慧系統專案，如Caracal、Deep Agents、DocsGPT、LadybugDB、LangChain、n8n-MCP、Nasiko、ONNX、OpenClaw、PageIndex、Scenic和Serena；構建系統、供應鏈和釋出工具，如browserslist、CycloneDX Python庫、Cucumber、golangci-lint、JReleaser、postcss和Task；核心程式語言、執行時和基礎庫，如Byte Buddy、core-js、FS2、Gleam、htmx、Pkl、Pyodide和termcolor；開發者工具與生產力平臺，如cheerio、Ciphey、CodeRunner、Hoppscotch、MapStruct、Python Pillow、Proyecto Respira、Readest、ToolJet、Vuetify和Yjs；以及Web、網路、API和基礎設施服務，如actix-web、aiohttp、Apache Solr、Apache ZooKeeper、etcd、FastAPI、Haraka、Hummingbird、mimetype、Sniffnet、Starlette和UAParser.js。這些專案構成了現代網際網路服務和雲應用的關鍵路徑，改進它們的韌性會帶來廣泛的下游收益。
AI安全已成為所有專案共同面對的新前沿。從機器學習基礎設施和智慧體框架，到開發者工具和網際網路基礎設施，AI相關的安全問題出現在第四期各個型別的專案中。與此同時，傳統的安全責任並沒有消失：維護者仍然需要管理漏洞、保護依賴、守護髮布流程、準備應對事件。AI帶來了新風險，也提高了維護者理解並響應風險所需的速度。第四期的經驗表明，AI安全不是孤立演進的，它正在成為安全軟體開發整體實踐的一部分。隨著這一轉變繼續，維護者將需要能同步進化的實用教育、可信社群和專家支援。文章最後感謝了所有合作方，包括資助夥伴和生態夥伴，他們共同幫助保護開源生態系統。