Чому 50 open-source проєктів переглянули безпеку, коли код почав писати ШІ?

GitHub інвестував у цей раунд понад $500 000. Гроші йшли через GitHub Sponsors як нерозводжені гранти — без відчуження акцій, без прихованих умов, крім вимірюваних результатів у безпеці. З'явилося 71 супроводжувач. 92 % проєктів завершили спринт із увімкненими secret scanning, code scanning, захищеними гілками, приватним звітуванням про вразливості та Dependabot.

Програма працює за чітким ритмом. Тритижневий спринт дає старт. Потім супроводжувачі залишаються залученими на дванадцять місяців: офіс-гадини та спільнота однодумців, а також дві контрольні точки — на шостому і дванадцятьому місяці. Кожна контрольна точка розблоковує ще $2 000. Перші $6 000 надходять вже під час спринту.

Навчання під час спринту охоплює три напрямки. Перший тиждень — основи безпеки open source. Другий — моделювання загроз і безпечне кодування. Третій — безпека ШІ та управління вразливостями. Програму розробляє і курує GitHub Security Lab. Експерти з безпеки GitHub та партнерських організацій її викладають.

OpenClaw приєднався до Сесії 4, бо це найшвидше зростаючий open-source проєкт GitHub. Супроводжувачі хотіли посилити безпеку до подальшого масштабування. До фінішу вони створили план реагування на інциденти, розширили інструменти безпеки GitHub, перевірили робочі процеси GitHub Actions і зміцнили процеси виявлення та відповіді на проблеми безпеки. Досвід OpenClaw відображає всю когорту: конкретні ризики відрізнялися, але кожен супроводжувач потребував знань та інструментів. Також потрібна була експертна підтримка, щоб захистити програмне забезпечення у епоху, коли ШІ змінює спосіб його створення.

Де відбувалася робота — по п'ятьох шарах

П'ятдесят проєктів розподілили за роллю в екосистемі програмного забезпечення.

На перехресті ШІ, автоматизації, даних і машинного навчання знаходяться дванадцять проєктів. Caracal, Deep Agents, DocsGPT, LadybugDB, LangChain, n8n-MCP, Nasiko, ONNX, OpenClaw, PageIndex, Scenic, Serena — все частіше стають фундаментальними компонентами сучасних ШІ-робочих процесів і продакшн-розгортань. Якщо прискорюється впровадження ШІ, поліпшення безпеки тут кладе міцніший фундамент для нових ШІ-екосистем.

Сім проєктів відповідають за системи збірки та ланцюг постачання. Browserslist, CycloneDX Python Library, Cucumber, golangci-lint, JReleaser, postcss, Task допомагають розробникам тестувати, перевіряти, пакувати, випускати та підтримувати програмне забезпечення у різних середовищах. Інструменти цієї групи впливають на все: від програмних специфікацій матеріалів і конвеєрів релізів до автоматизації якості коду та тестування.

Ще сім визначають базові мови програмування та середовища виконання, а також фундаментальні бібліотеки. Byte Buddy, core-js, FS2, Gleam, htmx, Pkl, Pyodide, termcolor формують те, як пишуть, конфігурують, виконують і розширюють код. Покращення на цьому шарі течуть вниз до тисяч додатків і розробницьких екосистем. Виграш у безпеці базових середовищ виконання і бібліотек поширюється на безліч інструментів і програм, що від них залежать.

Одинадцять проєктів формують щоденний досвід будівництва, тестування, співпраці та використання програмного забезпечення. Cheerio, Ciphey, CodeRunner, Hoppscotch, MapStruct, Python Pillow, Proyecto Respira, Readest, ToolJet, Vuetify, Yjs — це широко вживані утиліти та додатки, а також платформи, що зустрічаються у середовищах розробників і стеках додатків. Разом вони підтримують API-розробку, low-code платформи, колаборативні додатки. А також обробку контенту та робочі процеси доставки софту.

Частину операційного хребта інтернету становлять дванадцять проєктів. Actix-web, aiohttp, Apache Solr, Apache ZooKeeper, etcd, FastAPI, Haraka, Hummingbird, mimetype, Sniffnet, Starlette, UAParser.js обробляють API, мережі, пошук, повідомлення, координацію сервісів та інфраструктуру розподілених систем, на які покладаються організації по всьому світу. Ці технології лежать на критичному шляху сучасних хмарних додатків та інтернет-сервісів.

Безпека ШІ не витіснила стару роботу

Питання безпеки, пов'язані зі ШІ, з'явилися у проєктах кожної категорії — від ML-інфраструктури та агентних фреймворків до інструментів розробника та інтернет-інфраструктури. При цьому встановлені обов'язки з безпеки не зникли. Супроводжувачі все ще мусять керувати вразливостями, захищати залежності, оберігати робочі процеси релізів і готуватися до інцидентів. ШІ приніс нові ризики і прискорив темп, з яким супроводжувачам треба розуміти й відповідати на них.

Урок Сесії 4 сформульовано прямо в оголошенні: безпека ШІ не розвивається в ізоляції. Вона стає частиною ширшої практики створення безпечного програмного забезпечення. Поки цей зсув триває, супроводжувачам знадобиться практична освіта та довірені спільноти, а також експертна підтримка, здатні еволюціонувати разом з ними.

Що показують цифри по всіх сесіях

Сесія 4 — не вся історія. За чотири сесії та періоди відстеження до серпня 2026 року взяли участь 188 проєктів і 290 супроводжувачів з 42 країн. GitHub, Microsoft та зовнішні партнери за фінансуванням внесли $1,88 млн, розподілених через GitHub Sponsors.

Учасні проєкти виявили та розкрили 533 нові CVE. Виконали понад 1 500 оновлень безпеки Dependabot. Вирішили понад 650 витоку секретів. За останні шість місяців, що закінчилися у липні 2026 року, учасні та випускні проєкти виправили 4 210 сповіщень CodeQL і заблокували 119 секретів від потрапляння у відкритий доступ.

Хто платив і хто допомагав це організувати

Партнери за фінансуванням Сесії 4: Alfred P. Sloan Foundation, American Express, Chainguard, Datadog, Herodevs, Kraken, Mayfield, Microsoft, Shopify, Stripe, Superbloom, Vercel, Zerodha, 1Password. Партнери екосистеми: Atlantic Council, Ecosyste.ms, CURIOSS, Digital Data Design Institute Lab for Innovation Science, Digital Infrastructure Insights Fund, Microsoft for Startups, Mozilla, OpenForum Europe, Open Source Collective, OpenUK, Open Technology Fund, OpenSSF, Open Source Initiative, OpenJS Foundation, University of California, OWASP, Santa Cruz OSPO, Sovereign Tech Agency, SustainOSS.

Заявки на Сесію 5 приймаються до 24 серпня. Організації також можуть подати заявку на статтю Funding або Ecosystem Partners. Структура програми залишається незмінною: тритижневий спринт, дванадцять місяців залученості, $10 000 на проєкт за верифіковані покращення безпеки та прямий доступ до експертизи GitHub Security Lab.