這是 GitHub Secure Open Source Fund（GitHub 安全開源基金）第四期計畫的成果報告，透過資金與專家指導，協助開源維護者強化專案的資安能力。第四期涵蓋 LangChain、ONNX、FastAPI、Apache Solr、etcd 等 50 個專案，涉及 71 名維護者、22 個國家，投入超過 50 萬美元。
計畫的具體做法，是讓維護者接受安全工具培訓並導入 GitHub 內建的防護功能，例如密鑰掃描、相依套件安全更新與 CodeQL 程式碼掃描。文章指出，第四期有 92% 的專案成功啟用了核心的 GitHub 安全功能，顯示訓練加工具的組合確實能落地。
值得注意的是累積數字：計畫至今已涵蓋 188 個專案、290 名維護者、42 個國家，總投資達 188 萬美元，過程中發現並揭露 533 個新的 CVE 漏洞，完成超過 1,500 次相依套件安全更新，修復超過 4,210 個 CodeQL 警報，並處理了超過 650 個外洩的密鑰。文章也強調，AI 能協助維護者調查與排序風險，但最終決策仍要靠維護者的判斷與責任感。
這則新聞比較偏產業面，講的是開源生態系如何集體提升資安水準。不過對學程式的孩子來說，仍有一個值得記住的觀念：寫出能跑的程式只是基本功，考慮這段程式碼安不安全同樣重要，而且這通常需要持續學習與別人的經驗累積，不是一次就能學會。
開源資安AI