KeePassXC chiarisce la politica sull'IA: utilizzata solo nello sviluppo, mai nell'app
Gli sviluppatori di KeePassXC spiegano che l'IA aiuta con le revisioni del codice e le piccole pull request, ma non appare mai nel codice sorgente di KeePassXC.
Il team dietro il popolare gestore di password open-source e multipiattaforma KeePassXC ha fornito una spiegazione dettagliata di come l'IA venga utilizzata nel suo flusso di sviluppo, affrontando le preoccupazioni della comunità sorte a seguito di un recente aggiornamento della politica di contributo del progetto e, più nello specifico, negli aspetti relativi all'IA.
Nel recente post sul blog intitolato "Sulla qualità del codice di KeePassXC", il team sottolinea che L'IA assiste gli sviluppatori durante il processo di revisione e di stesura, ma nessun codice generato dall'IA viene integrato nel codice di KeePassXC. L'applicazione stessa rimane completamente scritta da esseri umani e continua a seguire gli rigorosi standard di sicurezza che i suoi utenti si aspettano.
Ecco esattamente come avvengono le cose. Cinque manutentori hanno l'autorità di unire le pull request, di cui due servono come manutentori principali. Ogni contributo—che sia scritto da un nuovo arrivato, da un collaboratore di lunga data o da un manutentore—viene inviato tramite GitHub, eseguito attraverso l'integrazione continua e revisionato riga per riga.
La fusione è bloccata fino a quando almeno un responsabile non approva, e se un responsabile ha creato la modifica, un altro responsabile deve revisionarla. Allo stesso tempo, gli sviluppatori delineano due modi ristretti e controllati in cui l'IA viene utilizzata:
- Come revisore aggiuntivo, gli strumenti di intelligenza artificiale possono riassumere le modifiche al codice e identificare potenziali problemi. Questi suggerimenti servono solo come "occhi" supplementari, a complemento dei controlli CI esistenti come i test unitari, l'analisi della memoria e l'analisi statica del codice.
- Per redigere pull request banali e con ambito ristretto, strumenti come GitHub Copilot possono proporre codice standard, semplici correzioni di bug o strutture di test. I manutentori poi perfezionano questi bozze con commit successivi e le revisionano con lo stesso livello di attenzione riservato a qualsiasi altro contributo.
Secondo gli sviluppatori, in entrambi i casi, l'IA non sostituisce mai la revisione umana. Ogni contributo viene esaminato, testato e unito in un unico commit prima di essere inserito nel ramo principale. Rispondendo alle speculazioni su un'integrazione più ampia dell'IA, il team di KeePassXC chiarisce la sua posizione in modo inequivocabile: “Non ci sono funzionalità AI all'interno di KeePassXC e non ce ne saranno mai.”
Per chiarire le cose, il team sottolinea che il progetto non utilizzerà l'intelligenza artificiale per riscrivere, rifattorizzare o influenzare componenti critiche per la sicurezza. Aree sensibili come la crittografia rimangono rigorosamente off-limits, e il team respinge qualsiasi affermazione secondo cui KeePassXC sarebbe "vibe-coded". Al contrario, l'IA viene utilizzata con parsimonia e solo dove non può influire negativamente sulla sicurezza del prodotto finale.
L'articolo affronta anche un altro interessante problema ricorrente: l'IA potrebbe generare codice dannoso o che sembra pulito e sicuro? Alla luce di ciò, la posizione di KeePassXC è più pragmatica. I manutentori sostengono che la qualità del codice è determinata dalla correttezza, non dall'identità dell'autore.
Secondo loro, un frammento difettoso copiato da un forum non è diverso da un suggerimento difettoso generato dall'IA, ma entrambi vengono individuati dal processo consolidato di revisione e test. Infine, osservano che un sabotatore umano esperto è molto più pericoloso di un LLM a uso generico, e gli attacchi recenti alla catena di approvvigionamento rafforzano questo punto.