開源專案創辦人怒批 AI 生成漏洞回報是垃圾：沒有一份有用，我們根本像遭遇 DDoS攻擊

著名開源專案 curl（cURL） 的創辦人 Daniel Stenberg 近日在 LinkedIn 上發文表示，該專案近來收到越來越多由 AI 工具生成的漏洞報告，內容錯誤百出卻措辭客氣完整，嚴重浪費開發者的時間。他更形容這些 AI 產出的回報已構成類似 DDoS 攻擊 的壓力，直言「如果可以，我們真想向這些人收錢」。

curl 是一款誕生於 1998 年、至今已有超過 25 年歷史的命令列資料傳輸工具與函式庫，被廣泛應用於各類網路資源互動。該專案透過多個通道接收漏洞回報，包括廣為人知的 HackerOne 漏洞賞金平台，而該平台近年也積極導入 AI 技術輔助回報。

但 Stenberg 表示，他已經受夠了這股「AI 瘋潮」，未來每一則 HackerOne 的回報只要被懷疑是 AI 生成，都會要求回報者承認是否使用 AI 工具產生內容。如果被認定是「AI 垃圾內容（AI slop）」，該帳號將被封禁。他坦言：「目前我們還沒看過任何一份由 AI 協助產生的安全漏洞回報是有用的。」

其中一份讓他「爆氣」的案例，是一則聲稱發現 HTTP/3 協議中的資料流依賴循環問題，可能導致 curl 發生遠端程式執行（RCE）的高風險漏洞。然而報告中所提供的修補程式不僅無法套用至最新版本，報告者也無法針對技術細節提出合理解釋，反而貼出一些像是 ChatGPT 輸出般的內容，例如「什麼是循環依賴？」以及不相關的 Git 使用教學。此外，還提及一些根本不存在的程式庫函式與錯誤建議其他工具的安全強化方式。

curl 團隊最後將該回報關閉，並公開該案作為反面教材。

針對事件，HackerOne 聯合創辦人暨 CTO Alex Rice 表示，平台會將任何包含虛構漏洞、模糊或錯誤技術內容的報告視為垃圾訊息，並採取處理措施。他補充指出，HackerOne 支持負責任地使用 AI 工具，「關鍵在於 AI 應提升回報品質，而非增加噪音。」

Stenberg 則表示，這一週就收到至少四份明顯是由 AI 生成的漏洞回報，多數內容「文筆完美、語氣禮貌、條列清晰」，但就是沒有技術含量。他甚至提到有一位報告者不小心把 AI 指令提示也一併貼進報告中，最後還寫上「請讓這聽起來更驚悚」。

他也呼籲 HackerOne 應加強管理並提供更有效的防堵工具，並與開源安全專家討論可能的解方，如：要求提交者先支付保證金再審查，以減少亂槍打鳥式的濫用情況。

Python 軟體基金會的安全專家 Seth Larson 也發文支持，指出他觀察到的現象與 curl 類似，認為這類「AI 垃圾回報」已對多個開源社群造成實際干擾，情況令人擔憂。