เจาะประเด็น
Open Source / Security
50 โปรเจกต์โอเพนซอร์สสอนบทเรียนอะไรให้วงการ? ความปลอดภัยยุค AI ไม่ใช่แค่เรื่องโค้ด แต่เป็นเรื่องของคนและเงิน
GitHub เอาเงินจริงไปลงให้ 50 โปรเจกต์โอเพนซอร์ส แล้วพบว่าความปลอดภัยในยุค AI มันไม่ได้มาจากเครื่องมือวิเศษ แต่มาจากการผสมกันของคน กระบวนการ และเงินที่พอเพียง
ทีมข่าว เอไอไทย.com
⏱ อ่าน 4 นาที
เราคุยกันเรื่องความปลอดภัยของโอเพนซอร์สทีไร มักจบด้วยบทสรุปเดิมๆ ว่า "ให้เงินแล้วมันจะดีเอง" หรือไม่ก็ "ต้องใช้ AI เข้ามาช่วย" แต่สิ่งที่ GitHub เพิ่งเปิดเผยจากโครงการ Secure Open Source Fund รอบล่าสุดบอกเราว่า มันไม่ได้ง่ายขนาดนั้น และก็ไม่ได้ยากเกินไปด้วย ถ้าทำถูกวิธี
โครงการนี้เขาให้ทุนกับ 50 โปรเจกต์โอเพนซอร์สที่ผ่านการคัดเลือก ควบคู่กับเครื่องมือรักษาความปลอดภัยของ GitHub เอง คำแนะนำจากผู้เชี่ยวชาญ และที่สำคัญคือการผสาน AI เข้าไปในเวิร์กโฟลว์ของเมนเทนเนอร์ แล้วเก็บข้อมูลว่าอะไรเวิร์ก อะไรไม่เวิร์ก ผลลัพธ์ที่ออกมาไม่ได้เป็นแค่รายงานแห้งๆ แต่เป็นบทเรียนที่วงการซอฟต์แวร์ทั้งวงการควรจะจดไว้
ฟังดูเหมือนเรื่องเทคนิคใช่ไหม? แต่จริงๆ แล้วเรื่องนี้มันเกี่ยวกับคนและวัฒนธรรมการทำงานมากกว่าตัวโค้ดซะอีก เพราะการที่คุณจะทำให้โปรเจกต์หนึ่งปลอดภัยขึ้นได้ คุณต้องทำให้คนที่ดูแลโปรเจกต์นั้น "อยาก" ทำมันด้วย ไม่ใช่ทำเพราะถูกบังคับ
GitHub ให้ทุนสนับสนุน 50 โปรเจกต์ที่หลากหลาย ตั้งแต่ไลบรารีเล็กๆ ที่คนใช้ไม่กี่พัน ไปจนถึงโปรเจกต์ระดับแกนนำของระบบนิเวศ พวกเขาไม่ได้แค่โยนเงินให้แล้วปล่อยให้เมนเทนเนอร์ไปจัดการเอง แต่จับมือกับผู้เชี่ยวชาญด้านความปลอดภัยเพื่อวางแผนการปรับปรุง ใช้เครื่องมืออย่าง Dependabot, CodeQL และ secret scanning เข้ามาช่วยตรวจจับช่องโหว่แบบอัตโนมัติ
ส่วน AI ที่ว่านั้น ไม่ได้มาในรูปแบบของตัวช่วยเขียนโค้ดวิเศษ แต่มาอยู่ในกระบวนการรีวิวโค้ด ช่วยกรองงานที่น่าเบื่อ ช่วยหาจุดที่น่าสงสัยที่มนุษย์มองข้าม ทำให้เมนเทนเนอร์ที่มีเวลาจำกัดโฟกัสกับงานที่ต้องใช้สมองจริงๆ ได้มากขึ้น
บทเรียนแรกคือ "เครื่องมืออย่างเดียวไม่พอ แต่ไม่มีเครื่องมือไม่ได้เลย" โปรเจกต์ที่ได้ผลดีที่สุดคือโปรเจกต์ที่เมนเทนเนอร์เปิดใจใช้ระบบอัตโนมัติเป็นด่านแรก แต่ยังมีมนุษย์เป็นคนตัดสินใจสุดท้าย พวกเขาไม่ได้เชื่อ AI หมดใจ แต่ใช้ AI เป็นผู้ช่วยโหลดงานหนัก
บทเรียนที่สองคือเรื่องเงินกับเวลามันคนละเรื่องกัน การให้เงินเพิ่มไม่ได้ทำให้ปัญหาความปลอดภัยหายไปในชั่วข้ามคืน เพราะเมนเทนเนอร์ส่วนใหญ่ยังต้องแบกภาระงานดูแลโปรเจกต์คนเดียวหรือไม่กี่คน การมีเงินทุนทำให้จ้างคนเพิ่มได้ แต่การจะดึงคนเก่งๆ เข้ามาร่วมงานในโลกโอเพนซอร์สนั้นยังคงยากเสมอ
สิ่งที่ผมชอบที่สุดจากรายงานนี้คือการยอมรับตรงๆ ว่าความปลอดภัยไม่ใช่จุดจบ แต่เป็นกระบวนการที่ต้องทำต่อเนื่อง ไม่มีคำว่าปลอดภัย 100% มีแต่คำว่า "ปลอดภัยพอสำหรับตอนนี้" และโปรเจกต์ที่ทำใจยอมรับความจริงข้อนี้ได้เร็ว ก็ปรับตัวได้เร็ว
อีกประเด็นที่หลายคนมองข้ามคือเรื่องของ "หนี้ความปลอดภัย" (security debt) ที่สะสมมานาน โปรเจกต์อายุ 10 ปีโค้ดหลายแสนบรรทัด ไม่มีทางที่ทีมเล็กๆ จะไล่แก้ทุกจุดได้ใน 6 เดือน สิ่งที่ทำได้คือจัดลำดับความสำคัญ แก้จุดที่เสี่ยงที่สุดก่อน แล้วค่อยๆ ไถ่ถอนหนี้ทีละนิด
สุดท้ายนี้ สิ่งที่ GitHub พยายามบอกเราคือการรักษาความปลอดภัยในยุค AI ไม่ใช่การซื้อเครื่องมือแพงๆ หรือรอให้ AI มาช่วยปิดช่องโหว่ทั้งหมดให้ แต่คือการสร้างวัฒนธรรมที่ทุกคนในโปรเจกต์รู้สึกเป็นเจ้าของความปลอดภัยร่วมกัน ตั้งแต่คนเขียนโค้ดใหม่ไปจนถึงคนที่ดูแล production
ฟังดูอาจไม่ตื่นเต้น แต่บทเรียนจาก 50 โปรเจกต์นี้คือ "ไม่มีทางลัด" ถ้าอยากให้โอเพนซอร์สปลอดภัยจริง ต้องลงทุนทั้งเงิน คน เครื่องมือ และเวลาอย่างจริงจัง ใครที่คิดว่าแค่ติดตั้ง AI เข้าไปใน CI/CD แล้วจะหลับตานอนได้ ขอบอกว่า ความฝันนั้นยังอีกไกล
ที่มา: GitHub Blog — อ่านต้นฉบับ
ความคิดเห็น 4
กำลังโหลดความคิดเห็น...