cURL kończy program bug bounty – czy to koniec jakości zgłoszeń?

Co się dzieje, gdy program bug bounty zamienia się w call center dla prompt-inżynierów? cURL właśnie pokazał, gdzie jest granica.

Zespół cURL wyłącza program bug bounty z końcem stycznia. Powód: zalew niskiej jakości, często generowanych przez AI „raportów” o lukach, które marnują czas i nerwy. Daniel Stenberg, twórca i główny maintainer, mówi wprost: to ruch „dla przetrwania i zachowania zdrowia psychicznego”. Nagrody pieniężne znikają, a zgłoszenia bezpieczeństwa od 1 lutego będzie trzeba kierować bezpośrednio przez GitHuba.

To ważne, bo cURL to klej Internetu – narzędzie i biblioteka obecne domyślnie w Windows, macOS i większości dystrybucji Linuksa. Transfer plików, debugowanie sieci, automatyzacja – na ogromną skalę. Bezpieczeństwo takich klocków bazowych to sprawa publiczna. Przez lata open source polegało na zgłoszeniach z zewnątrz, a bug bounty motywowało ludzi do szukania realnych problemów. Ale gdy AI zaczyna produkować wiarygodnie brzmiące, lecz fałszywe „luki”, małe zespoły utrzymaniowe dostają DDoS jednym klikiem.

cURL wyłącza bounty, włącza filtr

Decyzja zapadła: koniec z wypłatami przez HackerOne i koniec zachęcania do polowania na luki w cURL dla nagród. Aktualizacja w repozytorium usuwa wzmianki o programie, a plik security.txt mówi wprost: za zgłoszenia nie będzie pieniędzy. Stenberg zapowiada, że do 31 stycznia przyjmą jeszcze sprawy w toku na HackerOne, ale od 1 lutego nowe raporty – tylko przez GitHuba. I nie będzie pośrednictwa w „załatwianiu” wypłat u osób trzecich. [2]

Dlaczego tak ostro? Bo liczby przestały się spinać. W ciągu 16 godzin do cURL spłynęło siedem spraw z HackerOne; część dotyczyła prawdziwych błędów, ale żadna nie była realną podatnością. W 2026 r. naliczono już 20 podobnych zgłoszeń. To nie są zwykłe pomyłki – to pozornie sensowne elaboraty, którym trzeba poświęcić ludzkie godziny, żeby udowodnić, że nic tam nie ma. Stenberg porównał to wcześniej do DDoS-a: „Gdybyśmy mogli, policzylibyśmy im za tę stratę czasu.”

AI slop jako DDoS

Trend wyraźnie przyspieszył w 2025 r., po wcześniejszych ostrzeżeniach maintainerów. cURL wprowadził nawet checkbox na HackerOne: „Czy użyłeś AI, by znaleźć problem lub przygotować zgłoszenie?”. Odpowiesz „tak” – przygotuj się na grad pytań i żądań odtworzenia problemu. Bo, jak pisał Stenberg, zespół „nie widział jeszcze ani jednego ważnego raportu bezpieczeństwa, który powstał z pomocą AI”. Sztandarowy przykład? Zgłoszenie rzekomego „nowatorskiego” błędu w obsłudze HTTP/3, z funkcjami, które w ogóle nie istnieją i „łatką”, której nie da się zastosować. Odpowiedzi autora miały ton promptu i unikały konkretów. Brzmi jak halucynacja? Bo nią było.

Za decyzją stoi też skala projektu. „Jesteśmy małym, jedno-projektowym zespołem z garstką aktywnych maintainerów,” tłumaczy Stenberg. „Nie zmienimy, jak działają te wszystkie ‘slop maszyny’. Musimy zadbać o przetrwanie i nienaruszone zdrowie psychiczne.” Wprost zapowiada też nową politykę: za „śmieciowe” zgłoszenia będą bany i publiczne ośmieszanie. Przyznaje, że to balans – czasem po ostrzejszej wymianie zdań dociera, że po drugiej stronie jest „zwyczajnie wprowadzony w błąd człowiek”, który może wyciągnąć wnioski. Ale linia została narysowana.

Co dalej z bezpieczeństwem?

Część użytkowników zwraca uwagę, że wyłączenie bounty leczy objawy, nie przyczyny, i może osłabić motywację do zgłaszania prawdziwych luk. Stenberg nie zaprzecza, że to ryzyko, tylko uważa, że innego wyjścia nie ma. Ma nadzieję – „właściwie wierzę, a może raczej liczę” – że realne podatności nadal będą trafiać, nawet bez wypłat. Z drugiej strony platformy bounty bronią użycia AI jako narzędzia, podkreślając, że liczy się jakość efektu, nie pochodzenie. I że w skali globalnej AI potrafi poprawić klarowność raportów, choć „halucynacje” są realnym problemem.

W szerszym kadrze cURL nie jest sam. Inni maintainerzy open source – od pythonowego ekosystemu po mniejsze biblioteki – od miesięcy sygnalizują „wysyp ekstremalnie niskiej jakości, spamowych, halucynowanych raportów”. Efekt? Strata czasu, frustracja, wypalenie. Dokładnie to, na co wrażliwe są projekty utrzymywane przez kilka osób w wolnym czasie.

Komentarz

Bug bounty miały nagradzać wkład i poprawiać bezpieczeństwo. W połączeniu z łatwym generowaniem „raportów” przez modele językowe powstała jednak perwersyjna zachęta: flooduj, a może coś wpadnie. Dla takich projektów jak cURL, które są krytyczną infrastrukturą i de facto mikrozespołem, to niebezpieczna gra. Czy wyłączenie nagród zniechęci również tych najlepszych? Być może. Ale jeśli ci najlepsi i tak muszą przebijać się przez hałas, to cisza bywa większym dobrodziejstwem niż marchewka. A jeśli ktoś naprawdę znalazł poważną lukę, zwykle chce, by została naprawiona – niezależnie od bonusu.

Na koniec pozostaje pytanie: czy ekosystem wypracuje lepsze filtry i standardy dowodów (od reprodukcji po minimalne PoC), zanim kolejne projekty pociągną za tym samym sznurem? Bo jeśli fundamenty Internetu będą musiały bronić się przed „AI slopem” równie często, co przed realnymi exploitami, to mamy problem, którego nie załata się jedną łatką.

FAQ

Kiedy program bug bounty cURL się kończy?

Z końcem stycznia 2026 r. Zgłoszenia rozpoczęte przed tą datą mają być dokończone w dotychczasowym trybie.

Jak teraz zgłaszać luki w cURL?

Od 1 lutego 2026 r. należy zgłaszać problemy bezpieczeństwa bezpośrednio przez GitHuba projektu zgodnie z jego wytycznymi.

Czy cURL wypłaca jeszcze nagrody za znalezione podatności?

Nie. Projekt nie oferuje żadnych nagród i nie pomaga w uzyskaniu wypłat od podmiotów trzecich za problemy dotyczące cURL.

Czy można używać AI przy zgłoszeniach do cURL?

Tak, ale bez „slopu”: jeśli zgłoszenie będzie niezweryfikowane, halucynowane lub nie do odtworzenia, autor ryzykuje natychmiastowy ban i publiczne ośmieszenie.

Czy wyłączenie bounty obniży bezpieczeństwo cURL?

Nie wiadomo. Zespół liczy, że realne luki będą nadal zgłaszane bez względu na brak wypłat, choć część użytkowników obawia się spadku motywacji.

Źródła

• [1] https://arstechnica.com/security/2026/01/overrun-with-ai-slop-curl-scraps-bug-bounties-to-ensure-intact-mental-health/
• [2] https://bleepingcomputer.com/news/security/curl-ending-bug-bounty-program-after-flood-of-ai-slop-reports/
• [3] https://theregister.com/2026/01/21/curl_ends_bug_bounty/
• [4] https://itpro.com/software/open-source/curl-open-source-bug-bounty-program-scrapped
• [5] https://thenewstack.io/curl-fights-a-flood-of-ai-generated-bug-reports-from-hackerone/
• [6] https://heise.de/en/news/cURL-maintainer-Fed-up-because-of-AI-bug-reports-10373026.html
• [7] https://arstechnica.com/gadgets/2025/05/open-source-project-curl-is-sick-of-users-submitting-ai-slop-vulnerabilities/
• [8] https://theregister.com/2025/05/07/curl_ai_bug_reports/