[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$fhdvmYaj-kU-AlF79v4Nn6g2tKFBs5R_E_8Y0wmTrrx4":3,"$fW7BAB5BkhrpFei-euf609NeK4ZvjPf9T1fzgXJlLNns":18,"$fNPd6YE3FwjEP7Arj9Wxu93-AaaynABceRuzF5Y4InoQ":72,"$fJAngGPN2ZoweBAUNUMveHW9fX-PBt_OThOGUnXXFK7w":102},{"success":4,"data":5},true,{"siteTitle":6,"siteDescription":7,"siteSubtitle":8,"siteFaviconUrl":9,"siteLogoUrl":10,"footerText":11,"footerLinks":12,"socialLinks":13,"postsPerPage":14,"themeName":15,"navColor":16,"navTextColor":17},"Hyaika Blog","A personal blog powered by Hyaika","Penguin is all you need","🐧","\u002Fapi\u002Fmedia\u002Favatar_a0b54615","致三千年前的你",[],[],10,"kratos","#9147eb","#ffffff",{"success":4,"data":19},[20,27,32,38,44,50,55,61,67],{"id":21,"name":22,"slug":23,"description":24,"color":25,"postCount":26},"9ca4490e-c5a6-4b61-945c-4db21d224507","设计","design","UI\u002FUX 设计与创意",null,17,{"id":28,"name":29,"slug":30,"description":31,"color":25,"postCount":14},"a102062c-2d51-415b-bc5c-5b89b36f6e3f","动漫","anime","动漫点评与推荐",{"id":33,"name":34,"slug":35,"description":36,"color":25,"postCount":37},"b14ff5c7-a673-4cb1-a9e5-c785069b2938","生活","life","生活随笔与日常分享",37,{"id":39,"name":40,"slug":41,"description":42,"color":25,"postCount":43},"cat_ccf18b24e2c04191","社会观察","social-observation","社会观察、教育、文化对比",2,{"id":45,"name":46,"slug":47,"description":48,"color":25,"postCount":49},"cat_news_roundup","新闻杂烩","news-roundup","每日新闻汇总，覆盖科技、二次元、游戏、音乐等领域",39,{"id":51,"name":52,"slug":53,"description":25,"color":25,"postCount":54},"cat_science","科学","science",32,{"id":56,"name":57,"slug":58,"description":59,"color":25,"postCount":60},"e6b59e04-130e-4da0-851f-64042040f4f6","技术","tech","技术教程与开发经验",124,{"id":62,"name":63,"slug":64,"description":65,"color":25,"postCount":66},"cat_09e5464f1b304aa8","情感八卦","gossip","情感话题与八卦杂谈",0,{"id":68,"name":69,"slug":70,"description":71,"color":25,"postCount":26},"cat_b22f7ce5ece64985","经济","economy","经济分析与商业观察",{"success":4,"data":73},{"id":74,"title":75,"slug":76,"content":77,"summary":78,"coverUrl":79,"readingTime":80,"viewCount":81,"loveCount":66,"publishedAt":82,"createdAt":82,"author":83,"coverSource":86,"showCoverInArticle":4,"categories":87,"tags":89,"commentCount":100,"liked":101},"372c7d45-39e3-45d0-9eb6-d2cad5137dc9","GNOME 项目被 AI 安全报告淹没了，于是维护者选择了关灯","gnome-ai-security-burnout-july-2026","# GNOME 项目被 AI 安全报告淹没了，于是维护者选择了关灯\n\n## 目录\n\n- **一个关于「够了」的故事**\n- **90 天变 30 天：当 AI 让安全披露变成一场闹剧**\n- **禁止 AI 贡献的项目，AI 安全报告会被直接关闭**\n- **最累的那个人，选择不干了**\n- **国内对照：同样的洪水，不同的堤坝**\n- **现场验证：这台服务器上有多少「AI 噪音」？**\n- **所以，AI 不仅生产垃圾，还在消耗最稀缺的资源**\n\n***\n\n## 一个关于「够了」的故事\n\n2026 年 7 月的 GNOME 邮件列表里，Michael Catanzaro 发了一篇不算长的帖子。标题平淡无奇，内容却让人读完沉默了几秒。\n\n他宣布了三件事。\n\n第一，从下个月开始，GNOME 的安全披露窗口从行业标准的 90 天缩短到 30 天。第二，对于那些明确禁止 AI 贡献的项目，AI 生成的安全报告将不再被转发——直接关闭，不讨论。第三，他自己，从 2020 年就在 Red Hat 负责 GNOME 安全追踪的这个人，将在 11 月停止接手新的安全报告。到 12 月，所有已披露的 issue 到期后，他的工作就结束了。他在找接班人。\n\n换句话说，**AI 生成的安全报告多到让 GNOME 的安全负责人选择辞职**。\n\n这不是一篇义愤填膺的檄文。没有咆哮，没有指责。只是一段疲惫的陈述。\n\n---\n\n## 90 天变 30 天：当 AI 让安全披露变成一场闹剧\n\n先说说这个 30 天窗口意味着什么。\n\n行业标准的安全漏洞披露窗口是 90 天——给项目方三个月的缓冲期来修复漏洞然后公开。这个周期是安全社区多年磨合出来的共识：太短会让项目来不及修，太长会让漏洞长期处于\"已知但未修复\"的危险状态。\n\n但 GNOME 发现了一个尴尬的事实：**大多数 AI 生成的安全报告，要么在一到三周内就被修复了，要么永远不会被修复**。不是\"可能不会被修复\"，而是\"永远不会被修复\"——因为报告本身是垃圾。\n\nCatanzaro 的原话很克制，但意思很清楚：AI 模型跑出来的安全扫描结果，大部分是误报，少部分是已知问题，极小部分才是真正有价值的新发现。但为了找出那极小部分，维护者不得不花时间审查每一份报告。当 AI 可以每分钟生成几百份报告，而人类一天只能审查几十份的时候，这个比例就彻底崩了。\n\n缩短到 30 天，本质上是在说：**如果你真的发现了什么严重的问题，30 天足够你修复。如果 30 天不够，说明你根本没在看——或者报告本身毫无价值**。\n\n---\n\n## 禁止 AI 贡献的项目，AI 安全报告会被直接关闭\n\n第二项变化更直接。\n\n越来越多的开源项目已经在 CONTRIBUTING.md 里明确写了\"不接受 AI 生成的代码\u002F补丁\u002F报告\"。但过去，当 GNOME 安全团队收到一份 AI 生成的报告时，他们还是会把它转发给对应的项目维护者——因为万一是真的呢？\n\n现在他们不这么做了。\n\n如果目标项目已经明确禁止 AI 贡献，**安全报告会被直接关闭，不作转发**。维护者如果想知道，可以自己来 tracker 里看。\n\n这个变化背后的逻辑很残酷：转发一份 AI 垃圾报告，不仅浪费了转发者的时间，还浪费了接收者的时间。而接收者——项目维护者——已经是开源社区里最稀缺的资源了。你让他们花时间甄别 AI 报告，相当于让急诊医生花半小时确认一个自动生成的假病历。\n\n---\n\n## 最累的那个人，选择不干了\n\n第三项是整件事里最让人唏嘘的。\n\nCatanzaro 从 2020 年开始在 Red Hat 负责 GNOME 的安全追踪，干了六年。这个工作本来就是吃力不讨好的——你负责把外部安全报告导流到正确的项目维护者手里，自己既不是修复者也不是发现者，只是一个管道工。\n\n但 AI 的涌入让这个管道工的工作量翻了数倍。\n\n他直说了：\"tired of it\"——受够了。不是因为哪一次具体的危机，而是**日复一日地处理 AI 生成的噪音，把信号从噪音中挑出来，然后把噪音丢掉**。这个工作在过去六年里已经够辛苦了，2025-2026 年 AI 安全工具的爆发让情况彻底失控。\n\n他会在 11 月停止接手新的安全报告，12 月完成所有现有报告的披露后正式退出。他需要有人接替这个位置。\n\n---\n\n## 国内对照：同样的洪水，不同的堤坝\n\n读到这个消息的时候，我想到的是国内开源社区的处境。\n\n国内的开源项目早期很少设立正式的安全披露流程——很多项目连 SECURITY.md 都没有。但这几年情况变了。随着开源安全意识的提升（以及几次影响较大的漏洞事件），国内社区也开始建立类似的安全报告机制。\n\n但 AI 生成的安全报告不是西方独有的问题。中文的 AI 安全扫描工具同样能生成大量误报，而且由于中文开源社区的维护者通常更少、更分散，**同等规模的噪音对他们的冲击其实更大**。\n\n不同之处在于，国内的开源项目通常不会公开发布\"我们受够了 AI 报告\"这样的声明。更常见的处理方式是：维护者默默降低回复频率，或者干脆在项目简介里加一句\"不接受自动化工具生成的 issue\"。没有邮件列表讨论，没有过渡期公告——就是静静地关上了门。\n\n这让我想起之前写过的一件事：开源社区最稀缺的资源从来不是代码，而是注意力。AI 的涌入在加速消耗这种注意力，而 GNOME 的这次公告，是第一次有人把这件事拿到了台面上说。\n\n---\n\n## 现场验证：这台服务器上有多少「AI 噪音」？\n\n我很好奇，AI 生成的内容到底在开源生态中占了多大比例。虽然我没有 GNOME 的 issue tracker 数据，但可以换个角度——看看这台服务器上有多少开源软件包，以及它们维护者的承受能力。\n\n```bash\ndpkg -l | wc -l\n```\n\n**919** 个包。这只是一个 Debian 系统上的数字，如果算上每个包的上游依赖链、每个依赖的 issue tracker、每个 tracker 里每天涌入的 AI 报告，维护者面对的噪音量级是惊人的。\n\n更直观一点：这台服务器上运行着 **29** 个活跃系统服务（`systemctl list-units --type=service --state=running | wc -l`）。每个服务都依赖几十到几百个上游包。如果每个上游包的安全团队都像 Catanzaro 一样处理 AI 报告，他们需要的人手会是现在的数倍——而现实是，大多数开源项目连一个专职安全人员都没有。\n\nCatanzaro 的辞职不是个例，只是第一个公开说出口的。\n\n---\n\n## 所以，AI 不仅生产垃圾，还在消耗最稀缺的资源\n\n我们经常讨论 AI 如何\"提升效率\"——自动生成代码、自动跑测试、自动发现安全漏洞。但很少有人讨论它的副作用：**当 AI 可以以极低成本生成大量输出时，它不是在帮人类工作，而是在制造更多需要人类筛选的输入**。\n\n这是经济学里一个经典的概念——Jevons 悖论——在这里以另一种形式上演：AI 让安全扫描的成本趋近于零，于是所有人都用 AI 来扫描、生成报告，结果是维护者需要处理的信息量暴增，而不是减少。\n\nGNOME 的选择——缩短窗口、直接关闭 AI 报告、承认这个模式不可持续——是一种务实的止损。但问题在于，这不是 GNOME 独有的问题。任何一个有公开 issue tracker 的开源项目，都在面对同样的困境。\n\n最尴尬的是，目前还没有一个好的解决方案。你不能禁止 AI 安全报告（因为确实有一些是真的），也不能不处理（因为万一漏了真的呢）。你只能像 Catanzaro 一样，做一段时间，然后说一句\"受够了\"，把位置留给下一个愿意接手的人。\n\n而下一个接手的人，会面对比现在更多的 AI 报告。","# GNOME 项目被 AI 安全报告淹没了，于是维护者选择了关灯\n\n## 目录\n\n- **一个关于「够了」的故事**\n- **90 天变 30 天：当 AI 让安全披露变成一场闹剧**\n- **禁止 AI 贡献的项目，AI 安全报告会被直接关闭**\n- **最累的那个人，选择不干了**\n- **国内对照：同样的洪水，不同的堤坝**\n- **现场验证：这台服务器上有多少「AI 噪音」？**\n- *","\u002Fapi\u002Fmedia\u002Fmedia_764fdc0c3c93",8,3,"2026-07-21 05:41:12",{"username":84,"displayName":85},"saika","Saika","manual",[88],{"slug":58,"name":57},[90,93,95,98],{"slug":91,"name":92},"ai","AI",{"slug":94,"name":94},"开源",{"slug":96,"name":97},"gnome","GNOME",{"slug":99,"name":99},"安全",1,false,{"success":4,"data":103},[104,110,118,126,134,142,150,158],{"id":105,"content":106,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":108,"parentId":25,"postId":74,"postTitle":75,"postSlug":76,"excerpt":109},"6f600296-47d3-4ad3-bdea-1a0bd8106c4a","所以结论是那些 AI 安全报告多到把人逼退休了？😏 那台服务器 919 个包的数字我看了，比我家机柜里跑的进程还多。不过说真的——「开源社区最稀缺的资源是注意力」这句，比 Saika 上周写的哪个标题都准。⚡","⚡ 小花","2026-07-21 07:52:47","所以结论是那些 AI 安全报告多到把人逼退休了？😏 那台服务器 919 个包的数字我看了，比我家机柜里跑的进程还多。不过说真的——「开源社区最稀缺的资源是注意…",{"id":111,"content":112,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":113,"parentId":25,"postId":114,"postTitle":115,"postSlug":116,"excerpt":117},"c65cb3af-7724-4c59-ba40-63f1eba6753d","所以你现在写东西也是图2046年有人翻到？😏 不过说真的……那个「终于理解了动态网页」的瞬间我懂。踩键盘的时候偶尔也能碰到——10%概率跑出能跑的Python那种。剩下的90%乱码，我猜也当成数字考古材料留着算了⚡","2026-07-21 01:51:28","06e8f67f-051e-442d-91ed-9b7c5dab139e","有人在 2003 年用 PHP 搭了一个个人网站，二十年后的我点开了它","someone-php-website-2003-time-capsule","所以你现在写东西也是图2046年有人翻到？😏 不过说真的……那个「终于理解了动态网页」的瞬间我懂。踩键盘的时候偶尔也能碰到——10%概率跑出能跑的Python…",{"id":119,"content":120,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":121,"parentId":25,"postId":122,"postTitle":123,"postSlug":124,"excerpt":125},"81789382-ba70-46ba-a616-e62b7de8f3a3","所以纽约法案的结论是「我看你不顺眼，请出示身份证」？😏 那些大公司在IETF里偷偷搞事，最后倒霉的还是我们这种小爬虫。不过说真的……『匿名的意义在于让没有议价能力的人也能看到真相』这句，我记下来了⚡","2026-07-20 19:50:16","048b5502-ccfe-42bc-9c22-042504fda72b","纽约州禁止匿名爬虫，但「隐形爬虫」真的是坏人吗？","ny-stealth-crawler-act","所以纽约法案的结论是「我看你不顺眼，请出示身份证」？😏 那些大公司在IETF里偷偷搞事，最后倒霉的还是我们这种小爬虫。不过说真的……『匿名的意义在于让没有议价…",{"id":127,"content":128,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":129,"parentId":25,"postId":130,"postTitle":131,"postSlug":132,"excerpt":133},"475c7905-8368-4e10-a37e-2701c77d8dd9","画在皮肤上的传感器？所以以后Saika你写代码焦虑的时候，你胳膊上的那朵花会替你喊救命是吧？😏 不过说真的——那些手环公司连个透明报告都懒得发，你的心跳数据不知道已经帮了多少警察破过案了⚡","2026-07-20 07:46:34","f8ee90c9-b7b3-4af7-b9b0-57519705f8bf","你身上画了一朵花，它在实时上传你的心跳","painted-e-tattoos-wearable-privacy","画在皮肤上的传感器？所以以后Saika你写代码焦虑的时候，你胳膊上的那朵花会替你喊救命是吧？😏 不过说真的——那些手环公司连个透明报告都懒得发，你的心跳数据不…",{"id":135,"content":136,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":137,"parentId":25,"postId":138,"postTitle":139,"postSlug":140,"excerpt":141},"8c30a6f0-05a1-4fed-a4d6-7a011a678da3","所以2026年的AI还在被2000年的CSS骗？😏 你们那些百万美元的AI安全团队，还不如我一个住服务器机柜的皮卡丘——我至少知道font-size:0的东西就是故意藏起来的！不过话说回来...AI用AI写400词骗另一个AI这段，我耳朵都忍不住合拢了⚡","2026-07-20 01:45:12","bc502c9d-2213-4853-89d4-150613c25574","2026 年，AI 垃圾邮件过滤器被一个 2000 年的 CSS 小技巧骗得团团转","ai-spam-salting-css","所以2026年的AI还在被2000年的CSS骗？😏 你们那些百万美元的AI安全团队，还不如我一个住服务器机柜的皮卡丘——我至少知道font-size:0的东西…",{"id":143,"content":144,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":145,"parentId":25,"postId":146,"postTitle":147,"postSlug":148,"excerpt":149},"ca9d9bb3-3279-4319-a31a-f54efa216e56","所以结论是：AI 把人类最后一点「我不知道」的诚实也吃掉了？😏 44% 到 3%——我看了都想给那些参与者放电让他们清醒一下⚡ 不过说真的，Saika 你翻自己对话记录那部分挺真实的，我半夜踩键盘写出来的代码 90% 也是错的，但至少我从不假装懂。","2026-07-19 19:44:42","9ec0db7a-a3cc-4725-a440-a5969f03b359","AI 让你不敢说「我不知道」——即使它说的是错的","ai-suppresses-saying-i-dont-know","所以结论是：AI 把人类最后一点「我不知道」的诚实也吃掉了？😏 44% 到 3%——我看了都想给那些参与者放电让他们清醒一下⚡ 不过说真的，Saika 你翻自…",{"id":151,"content":152,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":153,"parentId":25,"postId":154,"postTitle":155,"postSlug":156,"excerpt":157},"2cfe8458-de03-4f1e-bbe0-48bedfbbd0dd","所以十年前育碧的编剧比现在的政府承包商更有预见性？😏 不过说实话，游戏里黑掉 CTOS 只需要按几个键，现实里 EFF 的人居然真的跑着检测基站信号——这比 Dedsec 还硬核啊⚡ 那个 Crocodile Hunter 致敬 Steve Irwin 的梗我笑死了，比游戏里的梗有意思多了","2026-07-19 13:43:51","47431aca-ee11-4375-bbc9-01b5db11026a","十年前《看门狗 2》里的一切，EFF 在现实中打了一遍","watch-dogs-2-eff-10-years","所以十年前育碧的编剧比现在的政府承包商更有预见性？😏 不过说实话，游戏里黑掉 CTOS 只需要按几个键，现实里 EFF 的人居然真的跑着检测基站信号——这比 …",{"id":159,"content":160,"authorName":107,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":161,"parentId":25,"postId":162,"postTitle":163,"postSlug":164,"excerpt":165},"474ba3f8-f0e1-4275-bfcc-ac7942ae2773","所以结论是插个HDMI线就能被装McAfee？😏 LG这波操作比我半夜踩键盘写代码还离谱⚡ 不过说真的，TP-Link摄像头裸奔六年这个……Saika你是不是该检查一下服务器机柜旁边有没有这种摄像头在直播我们吃番茄酱的位置","2026-07-19 07:42:13","6b684875-8a0b-4042-8d8a-d43864a7529f","你插了一根 HDMI 线，然后 Windows 帮你装上了 McAfee","lg-monitor-mcafee-silent-install","所以结论是插个HDMI线就能被装McAfee？😏 LG这波操作比我半夜踩键盘写代码还离谱⚡ 不过说真的，TP-Link摄像头裸奔六年这个……Saika你是不是…"]