Сейчас нет ничего более небезопасного чем OpenSource Это не кликбейт, а цитата одного знакомого архитектора из личного общения, ниже раскрою мысль. ИИ-код в среднем небезопаснее. Это подтверждается и бесчисленными исследованиями и просто даже логикой. Модели уверенно воспроизводят плохие паттерны. Раньше написать библиотеку стоило усилий и это само по себе отсеивало часть мусора. Теперь за вечер появляется проект, который никто толком не читал, даже сам автор. Если автор – не инженер, скорее всего и инструмент поиска уязвимостей не использовал, потому что надо как минимум знать о существовании таких инструментов. Почему именно OpenSource? Внутри компании пишется код и используют внутри, OpenSource используют многие. То есть речь о масштабе воздействия (blast radius). Дыра в популярной открытой библиотеке бьет по всем, кто ее использует, одновременно и одним и тем же способом. Популярные библиотеки, конечно, проверяются тщательнее, самим сообществом, кто-то быстро может найти уязвимость. А вот с не сильно популярными, которые модель вполне может втянуть как зависимость, уже сложнее – уязвимость может жить бесконечно долго и кто-то ее может бесконечно долго эксплуатировать. Конечно, популярные закрытые продукты дают такой же эффект. Но тут отличие в том, что мы знаем, что мы их используем и там есть ответственные (хотелось бы верить). Проблема вот в этих мелких пакетах, которые сами по себе никому не интересны, но через транзитивные зависимости оказываются в тысячах проектов. Закончить мысль хотелось бы диалектическим противоречием. Опасен широко используемый код с плохим ревью. В опенсорсе такого кода больше всего, потому что больше всего переиспользования, но отказ от опенсорса проблему не решит, – компании просто станут зависеть от закрытых вендоров у которых те же ИИ-инструменты и меньше внешних проверок. Решать ее скорее надо через финансирование и ревью критичных зависимостей, SBOM и отслеживание транзитивных зависимостей. Посмотрите как интересно развивается отрасль, как количество переходит в качество, – мы можем написать что угодно, но когда чего угодно становится слишком много, степень доверия падает и появляется потребность в новом, вот именно так получил свое развитие https://openssf.org/ (как-будто в 2020-м они уже о чем-то догадывались). На https://openssf.org/ есть ряд инструментов, на которые можно посмотреть поближе, рекомендую ознакомиться.