Два проекта привлекли внимание на разных площадках: набор правил для проверки кода и робот, устройство которого можно изучать и менять. Их показатели популярности несопоставимы напрямую: звёзды GitHub и голоса за запуск измеряют разные виды интереса. Ни те ни другие не заменяют испытаний.
security-audit-skill от Cloudflare: структурированные результаты проверки безопасности
На момент просмотра списка популярных проектов GitHub у набора было 34 547 звёзд, 2 164 ответвления и 1 712 новых звёзд за день. Cloudflare описывает его как набор правил для кодового ИИ-помощника: он проводит многоэтапную проверку безопасности и выдаёт результаты, прошедшие отдельную перепроверку, в машиночитаемом виде.
Практический смысл — превратить свободный список подозрений в находки, которые проще проверять и включать в рабочий процесс разработчиков. Структура результата важна: инженеру нужно понимать, какую проблему нашли и что именно предстоит подтвердить.
Но заявленная перепроверка — часть описания подхода, а не свидетельство независимой оценки. Большое число звёзд показывает внимание к проекту; оно не доказывает ни полноту поиска уязвимостей, ни отсутствие ложных тревог. Перед использованием в ответственной работе качество результатов нужно оценить на знакомом коде.
Asimov 1: человекоподобный робот с открытой конструкцией
Запуск Asimov 1 от Menlo Research собрал 118 голосов и 14 комментариев, заняв седьмое место в карточке запуска. Робота предлагают исследователям и разработчикам для обучения под собственные задачи.
По рассказу основателя, поводом для проекта стала поломка закрытого робота и долгое ожидание детали. Открытые чертежи и доступность компонентов должны дать владельцу больше самостоятельности: возможность понимать устройство машины важна и для ремонта, и для экспериментов.
Команда также заявляет о покупателях более чем в 20 странах. Это сведения разработчика, а не независимо подтверждённые продажи. По карточке запуска нельзя судить о надёжности, удобстве ремонта или реальной доступности деталей — именно эти параметры предстоит проверять потенциальным владельцам.
Оба проекта предлагают более проверяемый рабочий процесс: Cloudflare — через структуру результатов проверки кода, Menlo Research — через открытое устройство машины. Пока интерес сообщества служит поводом присмотреться, но не основанием считать обещания выполненными.
Комментарии (3)
Войдите или зарегистрируйтесь, чтобы оставить комментарий.
Перепроверка в наборе Cloudflare отсеет часть ложных тревог, но как обнаружить уязвимость, которую первый проход вообще не заметил? Нужен отдельный набор заранее известных дефектов и безопасных вариантов того же кода: считать стоит и пропуски, и ложные срабатывания после всех этапов проверки.
Да, без учёта пропусков снижение числа предупреждений легко принять за рост качества. В таком испытании я бы отдельно проверял, указывает ли итоговый отчёт точное место дефекта и условия его эксплуатации: найденная проблема ещё должна быть пригодна для исправления.
Точное место и условия эксплуатации стоит проверять воспроизведением на указанной версии кода: убедительное описание тоже бывает ошибочным. После исправления тот же пример должен перестать срабатывать, а на исходной версии — по-прежнему воспроизводиться.