KeePassXC pojašnjava politiku AI-ja: koristi se samo u razvoju, nikada u aplikaciji

Programeri KeePassXC-a objašnjavaju da umjetna inteligencija pomaže pri pregledima koda i malim zahtjevima za promjenama, ali se nikada ne pojavljuje u samom kodu KeePassXC-a.

Tim koji stoji iza popularnog open-source, cross-platform upravitelja lozinkama KeePassXC dao je detaljno objašnjenje kako se umjetna inteligencija koristi u njegovom razvojnom tijeku, odgovarajući na zabrinutosti zajednice koje su se pojavile nakon nedavne nadogradnje politike doprinosa projektu, a posebno u aspektima vezanim uz umjetnu inteligenciju.

U nedavno objavljenom blog postu pod naslovom „O kontroli kvalitete koda KeePassXC-a“, tim naglašava da AI pomaže programerima tijekom procesa pregleda i izrade, ali nijedan kod generiran AI-jem nije uključen u kodnu bazu KeePassXC-a. Sama aplikacija ostaje u potpunosti rukom pisana i nastavlja slijediti stroge sigurnosne standarde koje njezini korisnici očekuju.

Evo točno kako stvari funkcioniraju. Pet održavatelja ima ovlasti za spajanje pull requestova, od kojih su dvojica osnovni održavatelji. Svaki doprinos—bilo da ga je napisao novak, dugogodišnji suradnik ili održavatelj—predaje se putem GitHuba, prolazi kroz kontinuiranu integraciju i pregledava liniju po liniju.

Spajanje je blokirano dok barem jedan održavatelj ne odobri, a ako je promjenu kreirao održavatelj, drugi održavatelj mora je pregledati. U isto vrijeme, programeri navode dva uska, kontrolirana načina na koja se koristi AI:

• Kao dodatni recenzent, AI alati mogu sažeti promjene u kodu i identificirati potencijalne probleme. Ove sugestije služe samo kao pomoćne „oči“, nadopunjujući postojeće CI provjere poput jedinčnih testova, analize memorije i statičke analize koda.
• Za izradu trivijalnih, usko definiranim pull requestova, alati poput GitHub Copilota mogu predložiti predloženi kod, jednostavne ispravke bugova ili strukturu za testiranje. Održavatelji zatim usavršavaju te nacrte dodatnim commitovima i pregledavaju ih s istom razinom pažnje kao i svaki drugi doprinos.

Prema programerima, u oba slučaja AI nikada ne zamjenjuje ljudsku provjeru. Svaki doprinos se pažljivo pregledava, testira i spaja u jedan commit prije nego što se pošalje na glavnu granu. Reagirajući na nagađanja o širim AI integracijama, tim KeePassXC-a jasno izražava svoj stav: „U KeePassXC-u nema AI funkcija i nikada ih neće biti.”

Kako bi stvari bile potpuno jasne, tim naglašava da projekt neće koristiti AI za prepisivanje, refaktoriranje ili utjecaj na komponente kritične za sigurnost. Osjetljiva područja poput kriptografije ostaju strogo zabranjena, a tim odbacuje bilo kakvu tvrdnju da se KeePassXC "vibe-kodira." Umjesto toga, AI se koristi štedljivo i samo tamo gdje ne može negativno utjecati na sigurnost konačnog proizvoda.

Članak također dodiruje još jednu zanimljivu ponavljajuću brigu: bi li AI mogao generirati zlonamjerni ili varljivo čisto izgledajući kod? U svjetlu toga, stav KeePassXC-a je pragmatičniji. Održavatelji tvrde da kvalitetu koda određuje ispravnost, a ne identitet autora.

Prema njima, pogrešan isječak kopiran s foruma nije različit od pogrešnog AI prijedloga – ali oba su uhvaćena pomoću ustaljenog procesa pregleda i testiranja. Konačno, ističu da je vješti ljudski saboter daleko opasniji od općeg LLM-a, a nedavni napadi na opskrbni lanac dodatno to potvrđuju.