KeePassXC, Yapay Zeka Politikasını Açıklıyor: Yalnızca Geliştirmede Kullanılır, Uygulamada Asla

KeePassXC geliştiricileri, yapay zekânın kod incelemelerinde ve küçük pull request’lerde yardımcı olduğunu, ancak asla KeePassXC kod tabanında yer almadığını açıklıyor.

Popüler açık kaynaklı, çok platformlu şifre yöneticisi KeePassXC'nin arkasındaki ekip, proje katkı politikasıyla ilgili yakın zamanda yapılan bir güncellemenin ardından topluluk tarafından ortaya atılan endişeleri ele alarak AI'nin geliştirme iş akışında nasıl kullanıldığı konusunda ayrıntılı bir açıklama sağladı ve daha özel olarak AI ile ilgili yönleri açıkladı.

Yeni yayımlanan "KeePassXC’nin Kod Kalitesi Kontrolü Hakkında" başlıklı blog yazısında, ekip AI'nın inceleme ve taslak hazırlama sürecinde geliştiricilere yardımcı olduğunu, ancak AI tarafından üretilen hiçbir kodun KeePassXC kod tabanına dahil edilmediğini vurguluyor. Uygulamanın kendisi tamamen insan yapımı olarak kalmakta ve kullanıcılarının beklediği titiz güvenlik standartlarını takip etmeye devam etmektedir.

İşler tam olarak şöyle oluyor: Beş kişi, pull requestleri birleştirme yetkisine sahip ve bunlardan ikisi çekirdek geliştiriciler olarak görev yapıyor. Yeni bir katılımcı, uzun süredir katkıda bulunan biri veya geliştirici tarafından yapılan her katkı, GitHub üzerinden gönderiliyor, sürekli entegrasyondan geçiriliyor ve satır satır inceleniyor.

Birleştirme, en az bir sorumlu onay verene kadar engellenir ve eğer değişikliği bir sorumlu yaptıysa, başka bir sorumlu tarafından incelenmesi gerekir. Aynı zamanda geliştiriciler, AI'nin kullanıldığı iki dar ve kontrollü yolu açıklıyorlar:

• Ek bir inceleyen olarak, yapay zekâ araçları kod değişikliklerini özetleyebilir ve olası sorunları belirleyebilir. Bu öneriler yalnızca destekleyici “gözler” olarak hizmet eder ve birim testleri, bellek analizi ve statik kod analizi gibi mevcut CI kontrollerini tamamlar.
• Önemsiz ve sınırlı kapsamlı pull request'ler oluştururken, GitHub Copilot gibi araçlar şablon kodları, basit hata düzeltmelerini veya test iskeletlerini önerebilir. Bakımcılar daha sonra bu taslakları takip eden commit'lerle geliştirir ve bunları herhangi bir katkı gibi aynı titizlikle inceler.

Geliştiricilere göre, her iki durumda da yapay zeka insan incelemesinin yerini almaz. Her katkı titizlikle incelenir, test edilir ve ana dala gönderilmeden önce tek bir commit halinde birleştirilir. Daha geniş AI entegrasyonu hakkındaki spekülasyonlara yanıt veren KeePassXC ekibi, pozisyonunu açıkça ortaya koyuyor: “KeePassXC içinde hiç AI özelliği yok ve asla olmayacak.”

Her şeyi tamamen netleştirmek için ekip, projenin güvenlik açısından kritik bileşenleri yeniden yazmak, yeniden düzenlemek veya etkilemek için yapay zekâ kullanılmayacağını vurguluyor. Kriptografi gibi hassas alanlar kesinlikle yasaklıdır ve ekip, KeePassXC'nin "vibe-coded" olduğu iddiasını reddediyor. Bunun yerine, yapay zekâ nadiren ve yalnızca son ürünün güvenliğini olumsuz etkilemeyeceği durumlarda kullanılıyor.

Makale ayrıca başka bir ilginç, tekrar eden endişeye de değiniyor: Yapay zeka kötü niyetli veya aldatıcı şekilde temiz görünen kod üretebilir mi? Bu bağlamda, KeePassXC’nin tutumu daha pragmatiktir. Bakımcılar, kod kalitesinin yazarın kimliğine göre değil, doğruluğuna göre belirlendiğini savunuyorlar.

Onlara göre, bir forumdan kopyalanmış hatalı bir kod parçası, hatalı bir yapay zeka önerisinden farklı değildir—ancak her ikisi de yerleşik inceleme ve test süreci tarafından yakalanır. Son olarak, yetenekli bir insan sabotajcının genel amaçlı bir LLM’den çok daha tehlikeli olduğunu ve son tedarik zinciri saldırılarının bu noktayı pekiştirdiğini belirtirler.