第11章 AutoGPT 加入 GitHub 安全开源基金 (SOSF) 以推进 AI 安全
第一章 第11章：AutoGPT 加入 GitHub 安全开源基金（SOSF）以推进 AI 安全
← 所有文章 新闻 开源 AI 智能体 治理 Toran Bruce Richards·AutoGPT 首席执行官与创始人·2025 年 8 月 28 日
AutoGPT 受邀参加 GitHub 安全开源基金计划（SOSF）的首期项目。今年 3 月（2025 年），我们可信赖团队成员 Reinier（@pwuts）、Bently（@bentlybro）和 Nick（@ntindle）出席了该场次的活动。与众多其他项目（我们那一场的就有 20+ 个！）一起参与，其中许多大家耳熟能详且正在使用的，如 shadcn/ui、Node、Next.js、Jupyter 等。我们参加了由 GitHub 安全实验室及多位嘉宾主持的研讨会和炉边谈话。SOSF 计划标志着 GitHub 在推动我们共同使用和热爱的代码安全方面发起的一项新举措。点击此处可阅读更多相关内容。
AutoGPT 如何让 AI 智能体更安全
#1 改进我们的安全策略
我们的发现 AutoGPT 的安全策略虽然稳健，但不足以应对安全研究人员提出的最严重的反馈。
我们的行动 我们彻底重构了 AutoGPT 的安全策略与修复计划，并大力提升处理安全事件的能力。
#2 自动化漏洞修补
我们的发现 手动修补安全漏洞耗时且低效，随着 AutoGPT 规模的扩大，这种方式难以扩展。
我们的行动 我们部署了 dependabot、CodeQL 和 Snyk 等自动化工具，定期扫描代码库和容器构建，确保安全且同步更新。
#3 解决 GitHub Action 工作流中的问题
我们的发现 我们在处理 GitHub Actions 工作流方面存在缺陷，可能导致安全入侵。
我们的行动 在 GitHub 安全实验室的帮助下，我们解决了 Actions 工作流中的相关问题。
#4 建立安全待办清单
我们的发现 表现最佳的实践是主动式的，而非被动响应式的。
我们的行动 我们建立了安全待办清单，并添加了 20 余项随时间推移需处理的任务，例如： 1. 对 GravitasML 进行模糊测试（Fuzzing）并加入 OSS-Fuzz 2. 配置 OSS Scorecard，在 GravitasML 中自动且持续地验证和校验 3. 配置 zizmor 以对我们的 GitHub Actions 进行静态分析 4. 固定所有依赖版本 5. 为我们使用和生产的所有工具生成软件物料清单（SBOM）文档
在 SOSF 中构建社区
作为安全开源基金（SOSF）的一员，AutoGPT 团队不仅仅是参加者，更是贡献者。通过加入一个致力于“安全优先”开发模式的维护者同行小组，我们帮助建立了一个每周分享挑战与经验的反馈闭环。这种协作环境使 AutoGPT 得以参与塑造最佳实践，以让高速增长的代码库符合现代安全预期。除了安全层面的收益外，SOSF 计划还帮助 AutoGPT 建立了持久的友谊和强大的支持网络，有些人甚至认为这是该项目最重要的部分！
为什么安全必须是 AI 的核心
安全不是附加功能，而是实现安全、可信赖创新的前提，尤其是在自主 AI 智能体和高度互联系统时代。随着 AutoGPT 等 AI 工具深度融入互联网各处的业务流，任何漏洞都可能在大规模范围内被迅速利用。这就是为什么主动的安全投资——从策略到自动化再到社区协作——对于维护开放 Web 的完整性至关重要。安全的 AI 生态系统保护用户、加速开发，并确保计算的未来保持安全、透明并造福大家。
致谢
我们要感谢许多帮助运营该计划的人，从扎根一线的管理者 Gregg 和 Kevin，到计划生态系统及资金伙伴。GitHub 安全实验室的团队在传授许多新颖且激动人心的主题、解答 Nick（@ntindle）的大量问题方面发挥了关键作用。
对于维护者来说，GitHub 安全实验室团队是一个绝佳资源。你还可以加入 GitHub 维护者社区，在 https://maintainers.github.com 上手，这将指引你走上正确的方向。
合作伙伴
资金伙伴：Alfred P. Sloan Foundation、American Express、Chainguard、Datadog、Herodevs、Kraken、Mayfield、Microsoft、Shopify、Stripe、Superbloom、Vercel、Zerodha、1Password
生态伙伴：Ecosyste.ms、CURIOSS、Digital Data Design Institute Lab for Innovation Science、Digital Infrastructure Insights Fund、Microsoft for Startups、Mozilla、OpenForum Europe、Open Source Collective、OpenUK、Open Technology Fund、OpenSSF、Open Source Initiative、OpenJS Foundation、University of California, Santa Cruz OSPO、Sovereign Tech Agency、SustainOSS
