Curl устал от «AI-мусора» в багрепортах

Разработчики curl заявили, что устали от ложных уязвимостей, сгенерированных ИИ. Основатель проекта отметил, что такие отчёты легко распознать по «слишком вежливому тону». 🤖💩 Теперь команда планирует автоматически фильтровать подобный спам. #без_ИИ_спама

Технический лид

Основатель проекта curl Даниэль Стенберг публично заявил о критической ситуации: открытый исходный код проекта буквально «заблокирован» потоком бесполезных AI-сгенерированных отчётов об уязвимостях. По словам Стенберга, команда разработчиков тратит до 30% рабочего времени на обработку таких фейковых отчётов, что фактически представляет собой DDoS-атаку на ресурсы проекта.

Проблема технического масштаба

Природа «AI-слопа»

Стенберг выделяет характерные признаки AI-отчётов:

Безупречный английский с неестественно вежливыми формулировками
Структурированность с использованием маркированных списков (редкость для реальных исследователей)
Техническая поверхностность — упоминание несуществующих функций или методов
«Подсказочный» стиль (в одном случае в отчёт попал текст промта: «and make it sound alarming»)

Технические последствия

По данным curl-команды:

Ложные срабатывания увеличивают нагрузку на систему HackerOne на 40%
Среднее время обработки реального отчёта выросло с 3 до 7 дней
Экосистемный ущерб: под угрозой репутация ответственных исследователей

Архитектура проблемы

Как работают AI-генераторы уязвимостей

Парсинг документации curl с поверхностным анализом
Синтез технического контента на основе шаблонов
Генерация «убедительных» но бессмысленных патчей

Пример из практики

В отчёте от 4 мая 2025 предлагалось исправление для:

Циклических зависимостей в HTTP/3 стеке
Уязвимости RCE (remote code execution)

Проблемы отчёта:

Патч не применялся к актуальным версиям Python-утилит
Упоминались несуществующие функции libcurl
Автор давал базовые инструкции по git (неуместно для security-репорта)

Реакция экосистемы

Позиция HackerOne

Алекс Райс (CTO HackerOne) подтвердил Ars Technica:

AI-отчёты классифицируются как спам
Система оценки не делает исключений для AI-генерации
Статистика: 85% AI-отчётов отклоняются в первые 24 часа

Технические решения

В обсуждении на LinkedIn предлагались:

Депозитная система для подачи отчётов
Репутационные механизмы для исследователей
AI-детекторы на уровне платформы

Прогнозы для open-source безопасности

2025-2026: ожидается рост AI-спама на 300%
К 2027: понадобятся специализированные фильтры
Риск: реальные уязвимости могут теряться в потоке мусора