GitHub подвёл итоги третьей сессии программы GitHub Secure Open Source Fund, в рамках которой поддержал 67 ключевых open source‑проектов, важных для современного AI‑стека и программной инфраструктуры. Цель фонда — усилить безопасность открытого ПО, на котором строится цифровая цепочка поставок и системы с искусственным интеллектом.
Современное программное обеспечение, включая AI‑сервисы, мобильные, облачные и встроенные решения, в значительной степени опирается на open source‑компоненты. Эти библиотеки и инструменты становятся «невидимой инфраструктурой»: они используются годами, часто без пересмотра и без явной проверки. Уязвимость в одном широко используемом проекте способна затронуть реестры, облака, транзитивные зависимости и продуктивные системы по всему миру.
GitHub подчёркивает, что укрепление этого слоя нужно не только для снижения риска инцидентов, но и для уверенности разработчиков в том, что системы для обучения моделей, CI/CD и выполнения кода опираются на защищённую базу. Open source рассматривается как общая индустриальная инфраструктура, которая требует вложений и измеримых результатов.
Миссия GitHub Secure Open Source Fund — защищать критически важные проекты, которые обеспечивают цифровую цепочку поставок и развитие современных AI‑систем. Поддержка привязана к подтверждённым результатам: maintainers получают ресурсы, практическое обучение по безопасности и доступ к профессиональному сообществу, где можно обсудить самые рискованные проблемы и получить экспертную обратную связь.
Один продуктивный сервис может зависеть от сотен и даже тысяч транзитивных библиотек. Инцидент с Log4Shell показал, что атака на один популярный компонент редко ограничивается одним приложением или компанией. Поэтому вложения в безопасность широко используемых open source‑проектов сразу решают несколько задач: сокращают системные риски, повышают устойчивость цепочки поставок и помогают внедрять автоматизацию и AI‑инструменты без лишнего риска.
За первые две сессии программы 71 проект уже провёл существенные изменения в защите. В третьей сессии ещё 67 открытых проектов реализовали конкретные улучшения, направленные на снижение системных рисков во всей цепочке поставок ПО.
Каждая сессия идёт три недели, при этом взаимодействие с проектами продолжается в течение 12 месяцев. Финансирование и участие привязаны к целям, ориентированным на результаты, и к подтверждённым улучшениям в защите.
Специалисты GitHub Security Lab формируют программу трёхнедельного спринта и ведут его совместно с партнёрами. Обучение разбито по неделям на разные тематические блоки безопасности, при этом участники получают как теорию, так и практические рекомендации.
Каждый проект в сессии получает 10 000 долларов США через GitHub Sponsors: 6000 долларов во время спринта и по 2000 долларов на контрольных проверках через 6 и 12 месяцев. Помимо этого, проекты приглашаются в отдельное сообщество по безопасности и на офис‑часы с GitHub Security Lab, получают готовые материалы по защите и кредиты Azure для облачной инфраструктуры.
Третья сессия была ориентирована на усиление безопасности систем, которыми разработчики пользуются ежедневно. Участвовавшие проекты сгруппированы по тому, какую роль они играют в экосистеме ПО.
Первая группа — это языковые рантаймы, компиляторы и криптографические библиотеки: CPython, LLVM, Node.js, Rustls, Himmelblau, Vapor и связанные инструменты. Эти проекты определяют, как пишется и выполняется код, а их улучшения влияют на целые экосистемы.
Так, усиление безопасности CPython напрямую отражается на миллионах разработчиков, использующих Python для приложений, автоматизации и AI‑нагрузок. В LLVM поддерживающие разработчики нашли и реализовали улучшения, которые дополняют существующие инвестиции в безопасность и снижают риски в широко используемых toolchain‑ах.
Вторая группа — сетевые и коммуникационные библиотеки: Apache APISIX, curl, evcc, kgateway, Netty, quic-go, urllib3. Эти проекты отвечают за HTTP, TLS, API и сетевое взаимодействие, от которых зависит почти каждое приложение. Любое усиление их безопасности распространяется на большой объём трафика и сервисов.
Третья категория включает инструменты сборки и доставки ПО: Apache Airflow, Foundry, Gitoxide, GoReleaser, Jenkins, node-lru-cache, PyPI / Warehouse, rimraf, webpack. От их стабильной работы зависит весь процесс сборки, тестирования, упаковки и выката релизов.
В рамках сессии maintainers проектов Jenkins, Apache Airflow, GoReleaser, PyPI Warehouse, webpack и других сосредоточились на защите рабочих процессов, которые часто выполняются с повышенными привилегиями и широким доступом. Это позволяет снизить риск вмешательства ещё до того, как программный продукт попадёт к пользователям.
Следующий блок — проекты, критичные для анализа данных, исследований и AI‑разработки: ACI.dev, ArviZ, CocoIndex, OpenBB Platform, OpenSearch, pandas, PyMC, SciPy, TraceRoot. Эти инструменты всё активнее используются и в продуктивных средах, и в научных пайплайнах.
Участники сессии, включая pandas, SciPy, PyMC, ArviZ и OpenSearch, расширили покрытие средствами безопасности для больших и сложных кодовых баз, переходя от единичных проверок к постоянным сканированиям каждого коммита и релиза.
Многие из этих проектов уделили особое внимание темам, связанным с безопасностью AI‑сценариев, что отражает их растущую роль в рабочих процессах разработки и внедрения систем искусственного интеллекта.
Отдельная группа — инструменты, влияющие на повседневный опыт разработчиков: Bevy, calibre, DIGIT, fabric.js, ImageMagick, jQuery, jsoup, Mastodon, Mermaid, Mockoon, p5.js, python-benedict, React Starter Kit, Selenium, Sphinx, Spyder, ssh_config, Thunderbird for Android, Two.js, Yii framework.
Сюда входят такие распространённые утилиты, как Selenium, Sphinx, ImageMagick, calibre, Spyder и другие средства, которые часто используются в средах разработки и тестирования. Повышение их защищённости снижает риск того, что инструменты самих разработчиков станут каналом атаки, особенно в автоматизированных или общих окружениях.
Последняя тематическая категория — инструменты аутентификации, авторизации, управления секретами и конфигурацией: external-secrets, Helmet.js, Keycloak, Keyshade, OAuth2 (Ruby), varlock, WebAuthn (Go).
В Session 3 участвовали проекты Keycloak, external-secrets, библиотеки OAuth2, инструменты WebAuthn и другие фреймворки безопасности. Их maintainers сообщали о переходе от реактивных исправлений к систематическому анализу угроз и долгосрочному планированию, что укрепляет доверие к системам, зависящим от этих компонентов.
Во всех категориях особенно выделился один сигнал: модули, связанные с безопасностью AI, показали наибольший рост самооценки уровня понимания безопасности у участников третьей сессии. Это говорит о том, что темы защиты AI‑систем активно формируются и обсуждаются в открытом сообществе.
Одним из ключевых результатов программы стал сдвиг в подходе к безопасности. Разработчики open source‑проектов начали воспринимать её как обязательное требование, а не как «задачу на потом». Они переходят от точечных заплат к продуманному дизайну и от изолированной работы к обмену практиками с сообществом.
Многие участники теперь публикуют свои playbook‑и, делятся сценариями реагирования на инциденты и передают накопленные знания контрибьюторам. Подход «безопасность по умолчанию» закрепляется не только в коде, но и в процессах.
GitHub рассматривает усиление open source как базовое обслуживание интернета. Благодаря финансированию, трёхнедельной фокусировке и прямой поддержке для 67 широко используемых проектов maintainers смогли внедрить исправления, которые теперь защищают миллионы сборок в день.
Обучение, которое проводят GitHub Security Lab и ведущие специалисты по кибербезопасности, даёт эффект масштаба: вместо индивидуальной работы с каждым проектом формируются типовые подходы и шаблоны, которые может применить широкое сообщество.
Например, многие maintainers работают над тем, чтобы сделать свои playbook‑и публичными. Отработанные ими планы реагирования можно форкать и адаптировать под другие проекты, а подписанные релизы теперь автоматически повышают уровень доверия во всех пакетных менеджерах и CI‑пайплайнах, которые от них зависят.
GitHub призывает разработчиков и организации присоединиться к усилиям по защите цепочки поставок ПО в крупном масштабе. Компания отдельно отмечает сеть партнёров, без которой эта инициатива была бы невозможна.
В число партнёров по финансированию входят: Alfred P. Sloan Foundation, American Express, Chainguard, Datadog, Herodevs, Kraken, Mayfield, Microsoft, Shopify, Stripe, Superbloom, Vercel, Zerodha, 1Password. Они обеспечивают ресурсную базу для поддержки проектов и реализации программы.
Также GitHub работает с партнёрами экосистемы: Atlantic Council, Ecosyste.ms, CURIOSS, Digital Data Design Institute Lab for Innovation Science, Digital Infrastructure Insights Fund, Microsoft for Startups, Mozilla, OpenForum Europe, Open Source Collective, OpenUK, Open Technology Fund, OpenSSF, Open Source Initiative, OpenJS Foundation, University of California, OWASP, Santa Cruz OSPO, Sovereign Tech Agency, SustainOSS. Эти организации помогают развивать open source‑сообщество, формировать стандарты и масштабировать лучшие практики безопасности.
По данным GitHub, в рамках предыдущей сессии фонд уже помог 71 open source‑проекту заметно укрепить защиту за счёт прямого финансирования, экспертного сопровождения и практических playbook‑ов, которые можно применять в разных разработческих командах.
Помимо фонда, GitHub развивает исследовательские AI‑инструменты для безопасности, в том числе новый GitHub Security Lab Taskflow Agent — открытую и совместную платформу для исследования уязвимостей c помощью ИИ. С её помощью можно автоматически сортировать и анализировать типовые категории уязвимостей, в том числе в GitHub Actions и проектах на JavaScript.
GitHub также продолжает публиковать аналитические материалы о состоянии open source‑сообщества. В одном из отчётов компания описывает состояние, которое называет «вечным сентябрём»: порог входа в контрибьютинг снижается, а maintainers создают новые сигналы доверия, механизмы приоритизации и решения, управляемые сообществом.
Материал подготовлен по данным GitHub и инициативы GitHub Security Lab.
