O que 50 projetos de código aberto ensinaram ao GitHub sobre segurança na era da IA

A análise de segurança do GitHub em 50 grandes projetos de código aberto revela que o desenvolvimento assistido por IA expandiu a superfície de ataque mais rapidamente do que a governança conseguiu se adaptar — dependências alucinadas, erros sutis de lógica e discrepâncias de assinatura são os três padrões recorrentes.

Em termos simples: O Fundo de Código Aberto Seguro do GitHub ajudou 50 projetos a melhorar sua postura de segurança usando uma combinação de fluxos de trabalho assistidos por IA, ferramentas, orientação especializada e financiamento. As descobertas mostram o que realmente é necessário para fechar a lacuna de segurança da era da IA no código aberto.

O fato

O GitHub Blog documenta os resultados da Sessão 4 do seu Fundo de Código Aberto Seguro, que apoiou 50 grandes projetos de código aberto. O programa combinou fluxos de trabalho de desenvolvimento assistidos por IA, expertise dos mantenedores, ferramentas de segurança do GitHub e orientação especializada dedicada. O relatório sintetiza o que funcionou, o que não funcionou e o que a transição para o desenvolvimento assistido por IA significa para as práticas de segurança no código aberto.

Nossa análise

O contexto importa: esses projetos receberam apoio estruturado para enfrentar os desafios de segurança da era da IA — dependências alucinadas, lacunas na cadeia de suprimentos e a quebra do modelo tradicional de "humano escreve, humano revisa" de revisão de código que os commits assistidos por IA introduzem. Projetos que combinaram ferramentas de IA com governança de segurança explícita apresentaram os melhores resultados. O sinal mais amplo: o julgamento ad hoc dos mantenedores é cada vez mais insuficiente quando a IA gera um volume significativo de commits. Políticas formais de contribuição com IA — como a da linguagem Rust, o primeiro grande projeto de linguagem a codificá-la — estão se tornando uma expectativa básica para projetos críticos de segurança, e não um caso isolado.

Fique atento

Quais projetos críticos de segurança (kernel do Linux, OpenSSL, núcleo do Node.js) adotarão políticas explícitas de governança de IA a seguir — e se o programa SOSF do GitHub se expandirá para cobri-los em uma futura sessão.