Curl ha chiuso il suo bug bounty: tutta colpa dell'AI

Il popolare strumento open source curl, utilizzato per trasferire dati tramite vari protocolli e integrato in innumerevoli applicazioni tramite la libreria libcurl, ha annunciato la chiusura del suo programma di bug bounty su HackerOne. La decisione, rivelata da un commit pendente nel file BUG-BOUNTY.md del repository GitHub, elimina ogni riferimento al programma che dal 2019 offriva ricompense per vulnerabilità scoperte responsabilmente.

"L'obiettivo principale è rimuovere l'incentivo a inviare report scadenti e poco ricercati, generati da AI o meno. Il flusso attuale sovraccarica il team di sicurezza", ha spiegato Stenberg, sottolineando che curl è un progetto open source con maintainer limitati e che questo livello di carico minaccia la sostenibilità e la salute mentale degli sviluppatori. Dati condivisi su Mastodon confermano un aumento ripido delle submission per curl nel 2025, a differenza di altri progetti su HackerOne.

Stenberg non critica l'uso dell'AI in assoluto e, anzi, in passato ha lodato report validi assistiti da tool AI, ma insiste che i submitter devono comprendere e riprodurre le vulnerabilità. Il progetto continuerà a processare report in corso su HackerOne fino al 31 gennaio 2026; da febbraio saranno accettate solamente nuove segnalazioni via GitHub, senza compensi monetari né assistenza per terze parti.

L'aggiornamento è riportato anche nel file security.txt di curl, che avverte di ban e "gogna" pubblica per report inutili. Stenberg prevede di pubblicare un post sul proprio blog la prossima settimana con ulteriori dettagli, nella speranza che i ricercatori seri continuino a segnalare problemi reali nonostante l'assenza di premi. Questa mossa evidenzia le sfide crescenti per i progetti open source nel gestire l'impatto dell'AI sui processi di sicurezza.