Компания Curl отменяет программу вознаграждения за обнаружение ошибок, чтобы исключить стимулы для отправки информации об ошибках, связанных с искусственным интеллектом

Разработчик надеется, что хакеры всё равно будут присылать отчёты об ошибках, и продолжит позорить «глупые» из них.

Разработчик популярного инструмента для передачи данных с открытым исходным кодом cURLпрекратил программу вознаграждения за обнаружение ошибок после того, как разработчики столкнулись с трудностями при оценке огромного количества изменений, внесенных с помощью ИИ.

Главный игрок в кёрлинг Даниэль Стенберг на прошлой неделе добавил в GitHub коммит под названием «BUG-BOUNTY.md: we stop the bug-bounty end of Jan 2026».

Читатели, возможно, помнят, что Стенберг начал жаловаться на отчеты об ошибках, генерируемые ИИ, еще в начале 2024 года , а к середине 2025 года подумывал о закрытии программы вознаграждения за обнаружение ошибок в проекте. После получения нескольких серьезных отчетов об ошибках, обнаруженных разработчиком с помощью ИИ, Стенберг признал , что ИИ может быть отличным помощником в поиске ошибок.

Стенберг объяснил свое решение в почтовом сообщении , которое начиналось с новости о том, что на прошлой неделе в рамках программы вознаграждения за обнаружение ошибок было получено семь заявок, и хотя некоторые из них выявили ошибки, ни одна из них не описывала уязвимость.

На то, чтобы это выяснить, потребовалось «довольно много времени».

Затем он выразил надежду, что прекращение программы вознаграждения за обнаружение ошибок «устранит стимул для людей отправлять нам бессмысленные и плохо обоснованные отчеты, независимо от того, созданы они искусственным интеллектом или нет».

«Нынешний поток запросов создает большую нагрузку на команду специалистов по безопасности curl, и это попытка снизить уровень информационного шума».

В своем сообщении Стенберг также выразил надежду, что разработчики продолжат присылать отчеты о «реальных уязвимостях безопасности… даже если мы за них не платим».

«Будущее покажет», — добавил он, и, возможно, выяснит не только то, будут ли разработчики делиться отчетами об ошибках, но и то, готовы ли они рисковать публичной критикой, если их сообщения не будут соответствовать стандартам Стенберга.

Стенберг объяснил свою позицию в разделе публикации, где рассматривается его политика публичного осуждения тех, кто отправляет в программу вознаграждения «нелепые материалы, сгенерированные ИИ».

В этом разделе он рассказывает о недавнем разговоре с одним из тех, кого он критиковал.

«Мне было полезно вспомнить, что зачастую эти люди — просто обычные заблудшие люди, и они могут извлечь из этого урок и, возможно, даже измениться», — написал он.

Однако Стенберг оставил за собой право публично выражать свое негодование.

«Конечно, здесь важен баланс, но я также по-прежнему считаю, что разоблачение, обсуждение и высмеивание тех, кто тратит наше время впустую, — один из лучших способов донести мысль: НИКОГДА не следует сообщать об ошибке или уязвимости, если вы на самом деле не понимаете её и не можете воспроизвести».

«Если вы все еще так поступаете, я считаю, что имею право высмеивать и злиться на того, кто это делает», — добавил он, прежде чем признать, что ему самому иногда приходится сдерживаться.

«Это может быть подросток, совершивший одну-единственную ошибку, а затем двигающийся дальше по жизни и добившийся больших успехов в будущем», — написал он. 

Источник: www.theregister.com

Комментарии: