Resumo
O mantenedor do curl anunciou que encerrará o programa de bug bounty no HackerOne ao final do mês após receber grande volume de relatórios de baixa qualidade gerados por IA. A decisão expõe tensão entre modelos de recompensa por vulnerabilidade e ruído introduzido por automação massiva.
O que foi comunicado
Conforme reportado, o projeto curl — biblioteca e utilitário de linha de comando amplamente utilizado — optará por terminar sua participação no HackerOne. A justificativa explícita foi o afluxo de relatórios automatizados (descritos nas fontes como “AI‑slop”) que consumiram tempo dos mantenedores sem agregar valor real.
Impacto no ecossistema
Curl é uma dependência crítica em inúmeros sistemas e ferramentas; mudanças na estratégia de recompensa e triagem de vulnerabilidades podem afetar o fluxo de sinalizações de segurança públicas. Dois riscos imediatos:
- Possível redução no número de relatórios legítimos encaminhados via bug bounty e maior carga sobre mantenedores para triagem manual.
- Pressão para reavaliar modelos de incentivo: projetos open source pequenos/medianos podem abandonar programas pagos quando os custos administrativos superarem benefícios.
Considerações técnicas e processuais
Relatórios gerados por IA tendem a ter problemas: falta de repro steps precisos, falsos positivos e ausência de PoC. Isso gera custo operacional elevado para triagem e pode atrasar a resposta a vulnerabilidades reais. Projetos com recursos limitados enfrentam dilema entre manter um canal público de recompensa e gerir ruído gerado por automação.
Possíveis respostas da comunidade
- Adoção de filtros mais rigorosos em plataformas de bug bounty para bloquear submissões sem PoC ou com padrões típicos de IA.
- Modelos alternativos: programas coordenados por entidades maiores, recompensas diretas a pesquisadores verificados ou triagem inicial por equipes de segurança dedicadas.
- Melhor documentação de reporting: templates mínimos, exigência de PoC e exemplos de reporte útil para reduzir falsos positivos.
A decisão do projeto curl evidencia um problema sistêmico: sem adaptações nas plataformas e processos, a automação massiva pode degradar mecanismos que historicamente aumentaram a segurança do ecossistema OSS.
Relevância
Para CISOs e equipes de segurança, o caso curl é sinal de alerta: confiar apenas em programas de bug bounty externos pode não ser sustentável sem investimento em triagem e controles para filtrar relatórios automatizados. Governança de supply chain e auditorias proativas permanecem essenciais.