# GitHub 在 AI 时代从 50 个开源项目中学到的安全经验

GitHub 对50个主要开源项目的安全分析发现，AI辅助开发在扩大攻击面的速度上超过了治理的适应速度——虚构的依赖项、细微的逻辑错误和签名不匹配是三个反复出现的模式。

简单来说： GitHub 的“开源软件安全基金”通过结合 AI 辅助工作流、工具、专家指导和资金，帮助 50 个项目提升了安全态势。研究结果揭示了在 AI 时代缩小开源安全差距的真正需求。

事实

GitHub 博客记录了“开源软件安全基金”第四期的成果，该基金支持了 50 个重要开源项目。该项目结合了 AI 辅助开发工作流、维护者专业知识、GitHub 安全工具和专门的专家指导。报告综合了哪些措施有效、哪些无效，以及向 AI 辅助开发转变对开源安全实践的意义。

我们的解读

背景很重要：这些项目获得了结构化支持，以应对 AI 时代的安全挑战——如虚构的依赖项、供应链漏洞以及 AI 辅助提交引入的“由人编写、由人审核”传统代码审查模式的崩溃。将 AI 工具与明确的安全治理相结合的项目取得了最佳效果。更广泛的信号是：当 AI 生成大量提交时，临时的维护者判断已越来越不足以保障安全。像 Rust 语言（首个将其制度化的主流语言项目）那样的正式 AI 贡献政策，正成为安全关键项目的基线要求，而非例外。

关注点

接下来，哪些安全关键项目（如 Linux 内核、OpenSSL、Node.js 核心）会采用明确的 AI 治理政策——以及 GitHub 的 SOSF 项目是否会在未来扩展覆盖这些项目。