Проект Curl, разрабатывающий одну из самых востребованных утилит командной строки для передачи данных, официально объявил о прекращении программы выплаты вознаграждений за найденные ошибки. Дэниел Стенберг, основатель и основной разработчик Curl, сообщил, что решение вступит в силу в конце января 2026 года. Основной причиной радикального шага стал резкий рост числа низкокачественных уведомлений об уязвимостях, созданных с помощью генеративного искусственного интеллекта, что парализовало работу команды безопасности.
Проблема фиктивных отчетов и нагрузка на команду
В последние месяцы проект столкнулся с беспрецедентным объемом автоматизированных заявок. Использование нейросетей позволило охотникам за головами (bug hunters) массово генерировать описания потенциальных дыр в безопасности, которые на поверку оказываются недостоверными или технически невозможными. Каждое такое сообщение требует тщательного анализа со стороны квалифицированных специалистов, что отнимает значительные ресурсы у основного процесса разработки.
- Рост числа ложных срабатываний из-за ИИ-галлюцинаций.
- Необходимость ручной проверки каждого «галлюцинаторного» отчета.
- Снижение операционной эффективности команды безопасности.
Изменение политики безопасности и ожидания разработчиков
Отмена денежных выплат призвана устранить финансовый стимул для отправки непроверенных и мусорных данных.
Мы надеемся, что это решение отсеет тех, кто ищет легкой наживы с помощью ИИ, и позволит нам сосредоточиться на реальных угрозах, — отметил Стенберг в своем блоге.
Несмотря на закрытие программы Bug Bounty, разработчики Curl подчеркивают, что по-прежнему открыты для конструктивного сотрудничества и ожидают от исследователей глубокого понимания архитектуры инструмента.
Будущее обнаружения уязвимостей в Curl
Эксперты отмечают, что прецедент с Curl может стать сигналом для других Open Source проектов, которые также страдают от «информационного шума», порожденного ИИ. Проект продолжит принимать сообщения о проблемах безопасности, однако теперь взаимодействие будет строиться на волонтерской основе. Обязательным требованием к репортерам станет предоставление рабочего сценария воспроизведения (PoC), подтверждающего наличие реальной угрозы в коде.
Прекращение программы вознаграждений подчеркивает нарастающий кризис в сфере информационной безопасности, где инструменты автоматизации начинают мешать качественному аудиту кода. В долгосрочной перспективе Curl планирует сохранить высокие стандарты безопасности, опираясь на сообщество профессиональных исследователей, для которых приоритетом является надежность программного обеспечения, а не мгновенная выгода.