GitHub 向 50 个开源项目注资 50 万美元，强化 AI 时代安全

GitHub 近日公布了「Secure Open Source Fund」（安全开源基金）第四期成果：累计向 50 个开源项目投入逾 50 万美元，帮助维护者在 AI 重塑开发流程的背景下，应对新型安全挑战。该项目由 GitHub Security Lab 设计与执行，每期以三周冲刺的形式推进，整体参与周期为 12 个月，每个项目可获得 1 万美元资助及 Azure 云资源。

核心发现：AI 加速响应，但判断仍由人完成

本期项目贯穿一个一致结论：AI 可以帮助维护者更快地调查、排序和响应安全问题，但最终的上下文理解、判断与责任仍需维护者承担。随着 AI 辅助代码贡献普及，维护者面临陌生代码审查、新攻击面和有限资源的多重压力，安全响应链路被进一步拉长。

GitHub 将这一资助模式定位为「与可衡量安全成果直接挂钩」，资助与参与均以结果驱动的目标和经过核验的安全改进为依据。参与者除获得资金外，还可加入 GitHub Security Lab 主持的安全社区，并在 12 个月内持续获得专家答疑与安全资源支持。

覆盖范围：50 个项目横跨 AI、构建系统与基础库

第四期项目按生态角色分组，其中与 AI、机器学习及智能系统相关的项目达到 12 个，包括 Caracal、Deep Agents、DocsGPT、LadybugDB、LangChain、n8n-MCP、Nasiko、ONNX、OpenClaw、PageIndex、Scenic 和 Serena。这些项目日益成为现代 AI 工作流与生产部署的基础组件，其安全改进可直接传导至下游 AI 生态。

其余项目分布于构建系统与供应链工具（如 CycloneDX Python Library、postcss）、核心语言运行时与基础库（如 core-js、Pyodide、htmx）以及开发者效率工具（如 Hoppscotch、Python Pillow、Yjs）三大类别。GitHub 强调，基础组件层面的安全改进会以「下游扩散」的方式惠及成千上万的应用与开发者生态。

案例：OpenClaw 的安全加固实践

OpenClaw 作为 GitHub 增长最快的开源项目之一受邀参与本期项目。其维护团队在冲刺期内制定了事件响应计划、扩展了 GitHub 安全工具的使用、完成了 GitHub Actions 工作流审计，并强化了漏洞识别与响应流程。该案例被 GitHub 用以印证「AI 工具 + 维护者判断」组合在真实项目中的有效性。

GitHub 表示，第五期申请的截止日期为 8 月 24 日，同时面向生态合作方与资助方开放申请通道。