← 文章 / 开源项目

GitHub Blog 3小时前 · 2026-09-02 18:48:56 · 1 阅读

50 个开源项目教给我们的 AI 时代安全课

AI 正在改变开源开发的节奏，以及随之而来的安全挑战。维护者要在有限的时间和资源下审阅陌生的贡献、应对新的攻击面、响应漏洞。

GitHub Secure Open Source Fund 第四期测试了一条务实的应对路径。该安全基金向 50 个项目投入逾 50 万美元，为维护者配上了 GitHub Security Lab 专家、GitHub 安全工具、AI 辅助工作流和一个同侪社区。

一个结论反复出现： AI 能帮助维护者更快地调查、排定优先级并作出响应。而要决定什么可以发布，仍然离不开维护者提供的背景、判断与责任担当。

OpenClaw 应邀参加第四期，因为它是 GitHub 上增长最快的开源项目，其维护者希望强化项目的安全态势。

到第四期结束时，OpenClaw 已制定了事件响应计划，扩大了 GitHub 安全工具的使用范围，审计了自身的 GitHub Actions 工作流，并加强了识别与响应安全问题的流程。

维护者们分享了：

OPENCLAW:

'The program was invaluable in building the team's security muscle and intuition, and most of all ensuring we develop a safer claw for all.'

OpenClaw 的经历折射出第四期的整体面貌。尽管各项目的具体风险各不相同，维护者们表达了一致的需求：在 AI 改变开发方式之际，获得保护软件所需的知识、工具与专家支持。

在整个项目中，维护者把这些支持转化为具体的安全改进。各项目巩固既有实践，为新兴的 AI 相关风险做准备，并探索 GitHub Copilot 等工具如何辅助漏洞分诊、威胁建模、代码评审与修复。

UAPARSER.JS:

'The program helped us to improve security continuously: from securing workflows, incident response planning, and more. Also, GitHub Copilot can be an amazing tool for improving security!'

收益不止于单个项目。当维护者加固被广泛使用的开源软件的安全性时，他们是在为所有依赖它的人打造一个更有韧性的生态。

GitHub Secure Open Source Fund 如何运作

GitHub Secure Open Source Fund 把资金直接与可衡量的安全成果挂钩。项目将动手式安全教育、与 GitHub Security Lab 专家的直接协作，以及一个维护者可与同侪共同攻克安全难题的可信赖社区结合在一起。

每期包含一个为期三周的冲刺，整个参与周期共计 12 个月。资金与参与资格直接绑定成果导向的目标和经验证的安全改进。

冲刺由 GitHub Security Lab, 设计与策划，由 GitHub 及合作伙伴的安全专家授课。培训按周划分为不同重点领域。

其中包括：

开源安全基础
威胁建模与安全编码
AI 安全与漏洞管理

在整个项目中，每个项目会通过 GitHub Sponsors 获得 10,000 美元（其中 6,000 美元在冲刺期间发放，6 个月和 12 个月的安全回访各发放 2,000 美元）。项目还将受邀加入一个新的安全社区，并可在整整 12 个月里参加 GitHub Security Lab 的办公时间（office hours）。他们还能获得可立即在项目中落地的安全资源，以及用于云基础设施的 Azure 代金券。

第四期的安全工作都发生在哪里

第四期聚焦于改进开发者每天依赖的各类系统的安全性。下面的项目按照它们在软件生态中扮演的角色分组。

AI、机器学习与智能系统 🤖

Caracal • Deep Agents • DocsGPT • LadybugDB • LangChain • n8n-MCP • Nasiko • ONNX • OpenClaw • PageIndex • Scenic • Serena

这些项目横跨 AI、自动化、数据基础设施与机器学习。它们日益成为现代 AI 工作流与生产部署的基础组件。随着 AI 采用加速，这些项目的安全改进有助于为新兴 AI 生态打下更牢固的地基。

OPEN NEURAL NETWORK EXCHANGE:

'The program gave us a structured overview of where to improve and directly connected us to the experts who could help us get there.'

NASIKO:

'This program helped us turn security into concrete engineering work for an AI Agentic platform. We responded to a real supply-chain issue, tightened dependency controls, and got much clearer about AI-specific risks like untrusted agents, prompt injection, and secrets exposure.'

构建系统、供应链与发布工具 🧰

browserslist • CycloneDX Python Library • Cucumber • golangci-lint • JReleaser • postcss • Task

这些项目帮助开发者在不同环境中测试、验证、打包、发布和维护软件。这一类工具的影响遍及软件物料清单（SBOM）、发布管线、代码质量与测试自动化等方方面面。

JRELEASER:

'We were able to harden our CI setup, as well as adopt verifiable security measures.'

GOLANGCI-LINT:

'The program was a safe space to talk about our security challenges and helped us see the blind spots in our security process.'

核心编程语言、运行时与基础库 📚

Byte Buddy • core-js • FS2 • Gleam • htmx • Pkl • Pyodide • termcolor

这些项目参与定义软件的编写、配置、执行与扩展方式。这一层的改进会向下游传导至成千上万的应用和开发者生态。

基础运行时与库的安全改进可以顺流而下，惠及依赖它们的众多工具与应用。

GLEAM:

'We have meaningfully improved Gleam's security, and now we are able to pass these learnings onto our users and their projects.'

Typelevel FS2:

'We developed a custom Advanced Security Configuration and activated it for hundreds of repositories across our organization.'

开发者工具与效率平台 ⚒️

cheerio • Ciphey • CodeRunner • Hoppscotch • MapStruct • Python Pillow • Proyecto Respira • Readest • ToolJet • Vuetify • Yjs

这些项目塑造着构建、测试、协作和使用软件的日常体验。其中许多是被广泛采用的实用工具、应用和平台，遍布开发者环境与应用技术栈。

这一组项目共同支撑着 API 开发、低代码平台、协作应用、内容处理和软件交付工作流。当基础设施项目变得更有韧性时，收益远不止单个应用，而是强化整个技术生态。

Python Pillow:

'We now have an IRP, STRIDE threat model, SBOM-generator, AGENTS.md and more on the way.'

CHEERIO:

'Dealing with CVEs was a big fear before this program. Now, we have the tools to deal with incidents as they come up.'

Web、网络、API 与基础设施服务 📊

actix-web • aiohttp • Apache Solr • Apache ZooKeeper • etcd • FastAPI • Haraka • Hummingbird • mimetype • Sniffnet • Starlette • UAParser.js

这些项目构成了互联网运营骨干的一部分。它们承载着世界各地组织所依赖的 API、网络、搜索、消息传递、服务协调与分布式系统基础设施。

这一组包括位于现代云应用与互联网服务关键路径上的技术。

FASTAPI:

'The program increased the certainty in how security is handled in FastAPI and friends.'

APACHE SOLR™:

'While Apache's basic practices and policies have a lot of the traditional security risks covered, the quickly changing landscape of AI is clearly something we will need to actively track and adapt to.'

AI 安全：共同的边疆

第四期的各类项目都出现了 AI 相关的安全问题——从机器学习基础设施、智能体框架，到开发者工具和互联网基础设施。

与此同时，既有的安全职责并没有消失。维护者仍需管理漏洞、保护依赖、守护发布工作流并为事件做好准备。AI 带来了新的风险，也提高了维护者理解并响应这些风险所需的速度。

第四期的结论很明确：AI 安全并非孤立演进，它正成为「构建安全软件」这一更大实践的一部分。随着这一转变继续，维护者将需要能与之共同演进的实用教育、可信赖的社区和专家支持。

HUMMINGBIRD:

'It's provided us the tools and know-how to review security across our tools and the rest of the ecosystem. It's had a massive impact.'

感谢所有合作伙伴

没有我们出色的伙伴网络，这一切无从谈起。让我们携手为所有人守护开源生态的安全！

资助合作伙伴：Alfred P. Sloan Foundation、American Express、Chainguard、Datadog、Herodevs、Kraken、Mayfield、Microsoft、Shopify、Stripe、Superbloom、Vercel、Zerodha、1Password

A decorative header image showing GitHub Secure Open Source Fund, powered by GitHub Sponsors. Logos below are: Alfred P. Sloan Foundation, American Express, chainguard, Datadog, herdevs, Kraken, Microsoft, Mayfield, Shopify, stripe, superbloom, Vercel, 1Password, Zerodha

生态合作伙伴：Atlantic Council、Ecosyste.ms、CURIOSS、Digital Data Design Institute Lab for Innovation Science、Digital Infrastructure Insights Fund、Microsoft for Startups、Mozilla、OpenForum Europe、Open Source Collective、OpenUK、Open Technology Fund、OpenSSF、Open Source Initiative、OpenJS Foundation、University of California、OWASP、Santa Cruz OSPO、Sovereign Tech Agency、SustainOSS

原始来源： GitHub Blog