开源工具cURL因AI生成虚假漏洞报告拟暂停安全赏金项目

近日，开源网络工具cURL的主要开发者Daniel Stenberg在其博客中表达了对安全漏洞赏金项目的担忧。他指出，该项目正遭受恶意利用，一些别有用心的攻击者借助AI工具批量生成虚假漏洞报告，企图骗取项目奖金。这种行为给cURL的安全团队带来了巨大困扰，甚至让团队考虑终止该赏金计划。

自2019年启动以来，cURL的安全漏洞赏金项目总计为81名漏洞发现者颁发了约9万美元（约合人民币64.7万元）的奖金。然而，正是这一丰厚的奖励机制吸引了不法分子的关注。他们利用AI工具批量生产”垃圾漏洞报告”，导致安全团队的工作量激增。仅在上周，cURL团队就收到了比平时多出8倍的虚假报告，而这些所谓的漏洞报告大多经不起 scrutiny。

目前，cURL的安全团队仅有7名成员。面对数量庞大的虚假报告，他们不得不逐条审核，每份报告的确认时间在30分钟到3小时之间不等。这种低效且耗时的工作模式让团队不堪重负。Daniel Stenberg直言：”如果情况继续恶化，不排除会暂停安全漏洞赏金项目”。