Who Said CVE? How Vulnerability Identifiers Are Mentioned by Humans, Bots, and Agents in Pull Requests
Questo articolo analizza i modelli di utilizzo degli identificatori di vulnerabilità nelle pull request di GitHub, rivelando che mentre i bot generano la maggior parte dei menzionamenti attraverso aggiornamenti automatici delle dipendenze, gli sviluppatori umani e gli agenti autonomi forniscono riferimenti meno frequenti ma più diversificati dal punto di vista contestuale per supportare correzioni e discussioni.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina un cantiere edile enorme e frenetico dove migliaia di persone stanno costruendo un software. In questo mondo, quando viene trovata una crepa pericolosa in una parete (una vulnerabilità di sicurezza), questa riceve un "Manifesto del Ricercato" unico con un numero ID specifico, come CVE-2025-12345. Questi manifesti aiutano tutti a sapere esattamente di quale crepa si sta parlando.
Questo articolo è come un storia investigativa che pone la domanda: "Chi è che sta effettivamente appendendo questi 'Manifesti del Ricercato' nel cantiere, e come li sta usando?"
I ricercatori hanno esaminato un tipo specifico di cantiere chiamato GitHub, dove il codice viene scritto e corretto. Si sono concentrati sulle "Pull Request" — che sono come richieste formali per riparare un problema o aggiungere un nuovo mattone all'edificio. Volevano vedere se erano gli Esseri Umani, i Bot (robot automatizzati) o gli Agenti AI (aiutanti intelligenti e autonomi) a menzionare questi "Manifesti del Ricercato".
Ecco cosa hanno scoperto, suddiviso in modo semplice:
1. I Robot sono i più chiacchieroni (ma sintetici)
La Scoperta: I Bot hanno menzionato questi ID di vulnerabilità circa il 69% delle volte.
L'Analogia: Pensa ai bot come agli impiegati dell'ufficio posta. Sono incredibilmente efficienti e gestiscono la stragrande maggioranza della posta. Quando un bot menziona un "Manifesto del Ricercato", sta solitamente facendo il suo lavoro: "Ehi, abbiamo aggiornato la serratura di questa porta perché quella vecchia era rotta. Ecco il manifesto per la serratura rotta (CVE-123)".
- Dove parlano: Attaccano quasi sempre il manifesto sulla bacheca principale (la descrizione della Pull Request). Raramente chiacchierano nel corridoio (commenti) o lo scrivono direttamente sui mattoni stessi (messaggi di commit).
- Perché: Stanno principalmente solo eseguendo controlli automatizzati o sostituendo vecchi componenti con altri nuovi e più sicuri.
2. Gli Esseri Umani sono i cercatori di profondità
La Scoperta: Gli esseri umani menzionano questi ID meno spesso in termini assoluti, ma quando lo fanno, sono molto più dettagliati.
L'Analogia: Gli esseri umani sono gli architetti e i capilingenieri. Non si limitano a sbattere un manifesto sulla parete; discutono della crepa, spiegano perché è accaduta e come l'hanno riparata.
- Dove parlano: Gli esseri umani mettono i manifesti sulla bacheca, ma li scrivono anche sulle planimetrie (messaggi di commit) e li urlano nella sala riunioni (titoli e commenti).
- Perché: Usano gli ID per spiegare correzioni complesse, discutere sulla sicurezza o assicurarsi che tutti comprendano il pericolo specifico che stanno risolvendo.
3. Gli Agenti AI sono i nuovi arrivati
La Scoperta: Gli agenti AI autonomi (come i nuovi aiutanti intelligenti) menzionano questi ID molto raramente.
L'Analogia: Questi agenti sono come stagisti che stanno ancora imparando il mestiere. Quando menzionano un "Manifesto del Ricercato", agiscono un po' come un mix tra l'impiegato dell'ufficio posta e l'architetto. Potrebbero stare sistemando un problema o eseguendo un controllo di sicurezza, ma non hanno ancora iniziato a parlare di queste cose tanto quanto gli umani o i bot.
Il Quadro Generale: Lavori Diversi, Stili Diversi
L'articolo conclude che, sebbene tutti utilizzino gli stessi "Manifesti del Ricercati", li usano per motivi diversi:
- I Bot li usano come ricevute: "Ho fatto il lavoro, ecco la prova".
- Gli Esseri Umani li usano come spiegazioni: "Ecco perché l'abbiamo fatto e cosa significa".
- Gli Agenti stanno solo iniziando a trovare la propria voce in questa conversazione.
Il Messaggio Chiave:
Al momento, i robot automatizzati stanno facendo il lavoro pesante di notare e elencare i pericoli. Ma sono gli esseri umani quelli che fanno il lavoro di pensiero pesante su come risolverli e perché sia importante. Man mano che gli agenti AI inizieranno a svolgere più lavoro, potremmo dover insegnare loro a parlare di questi pericoli più come fanno gli umani — spiegando il "perché" e non solo il "cosa".
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.