Инициатива Anthropic по сканированию уязвимостей в открытом исходном коде сместила ограничение в безопасности open source с поиска дефектов на пропускную способность мейнтейнеров. Когда обнаружение работает в масштабе агентов, очередь сообщённых проблем растёт быстрее, чем число людей, способных их оценить, маршрутизировать и исправить. Практический результат в том, что проблема обнаружения становится проблемой триажа и цепочки поставок: кто получает отчёт, как он воспроизводится, какая версия затронута и как исправление проверяется до того, как оно распространится вниз по цепочке.
Смежные материалы сообщают о том же давлении с другой стороны, освещая AI-агентов, которые коммитят непроверенные зависимости в проекты. Агент, добавляющий пакет без зафиксированного обоснования или закреплённой версии, расширяет поверхность, которую должны покрывать последующие сканирования. Bloomberg и OpenTelemetry описывают работу по восстановлению доверия к вкладу в open source по мере роста входных данных, сгенерированных ИИ, что указывает на процедурный, а не только инструментальный характер ответа.
Для команд, выпускающих агентные системы, полезный артефакт — это контракт: каждая автоматическая находка несёт владельца, путь воспроизведения и шаг верификации; каждое изменение зависимости проверяется, закрепляется и атрибутируется; а маршрутизация патчей определена до того, как придёт объём. Добавление ещё одного сканера не решает проблему пропускной способности мейнтейнеров. Из материалов неясно, какие проекты или мейнтейнеры пострадают первыми и какие стандарты верификации примет работа по восстановлению доверия.