KeePassXC förtydligar AI-policy: används endast i utveckling, aldrig i appen

Utvecklarna av KeePassXC förklarar att AI hjälper till med kodgranskningar och små pull requests, men aldrig förekommer i KeePassXC:s kodbas.

Teamet bakom den populära, open-source och plattformsöverskridande lösenordshanteraren KeePassXC har gett en detaljerad förklaring av hur AI används i dess utvecklingsprocess, och bemött de farhågor från communityn som uppkom efter en nyligen genomförd uppdatering av projektets bidragspolicy, och mer specifikt de AI-relaterade aspekterna.

I det nyligen publicerade blogginlägget med titeln "Om KeePassXCs kodkvalitetskontroll" betonar teamet att AI assisterar utvecklare under gransknings- och utarbetningsprocessen, men ingen AI-genererad kod slås ihop med KeePassXCs kodbas. Själva applikationen förblir helt mänskligt skriven och fortsätter att följa de strikta säkerhetsstandarder som dess användare förväntar sig.

Så här går det till exakt. Fem underhållare har befogenhet att slå samman pull requests, varav två fungerar som kärnunderhållare. Varje bidrag—oavsett om det skrivs av en nybörjare, en långvarig bidragsgivare eller en underhållare—skickas in via GitHub, körs genom kontinuerlig integration och granskas rad för rad.

Sammanfogning är blockerad tills minst en underhållare godkänner den, och om en underhållare har skrivit ändringen måste en annan underhållare granska den. Samtidigt beskriver utvecklarna två smala, kontrollerade sätt som AI används på:

• Som en ytterligare granskare kan AI-verktyg sammanfatta kodändringar och identifiera potentiella problem. Dessa förslag fungerar endast som kompletterande ”ögon” och kompletterar befintliga CI-kontroller såsom enhetstester, minnesanalys och statisk kodanalys.
• För att skriva triviala, snävt avgränsade pull requests kan verktyg som GitHub Copilot föreslå standardkod, enkla buggfixar eller teststommar. Underhållare förfinar sedan dessa utkast med uppföljande commits och granskar dem med samma noggrannhet som alla andra bidrag.

Enligt utvecklarna ersätter AI aldrig mänsklig granskning i något av fallen. Varje bidrag granskas, testas och slås samman till en enskild commit innan det skickas till huvudgrenen. När de reagerar på spekulationer om en bredare AI-integration gör KeePassXC-teamet sin ståndpunkt tydlig: „Det finns inga AI-funktioner i KeePassXC och det kommer det aldrig att finnas.”

För att göra saken kristallklar betonar teamet att projektet inte kommer att använda AI för att skriva om, refaktorera eller påverka säkerhetskritiska komponenter. Känsliga områden såsom kryptografi förblir strikt förbjudna, och teamet avvisar alla påståenden om att KeePassXC håller på att "vibe-kodas." Istället används AI sparsamt och endast där det inte kan påverka säkerheten i slutprodukten negativt.

Artikeln berör också en annan intressant återkommande fråga: skulle AI kunna generera skadlig eller vilseledande renkodad kod? Mot denna bakgrund är KeePassXCs inställning mer pragmatisk. Underhållarna hävdar att kodkvalitet bestäms av korrekthet, inte av författarens identitet.

Enligt dem är ett felaktigt utdrag kopierat från ett forum inte annorlunda än ett felaktigt AI-förslag — men båda fångas upp av den etablerade gransknings- och testprocessen. Slutligen påpekar de att en skicklig mänsklig sabotör är betydligt farligare än en generell LLM, och de senaste attacker mot leverantörskedjan stärker den poängen.