広く利用されているオープンソースのネットワークツールであるcURLの開発者は、人工知能によって生成された疑いのある低品質な投稿が急増したため、脆弱性報奨金プログラムを木曜日に中止しました。cURLの創設者であり、主任開発者であるダニエル・ステンバーグ氏は、この決定の主な理由として、少人数のメンテナーチームの精神的な健康を守る必要性を挙げました。

ステンバーグ氏は、これらの「がらくた」投稿の流入により、チームが正当なセキュリティ上の懸念を適切に評価し、対応する能力が圧倒されたと説明しました。「私たちは、少数のアクティブなメンテナーしかいない、小規模な単一のオープンソースプロジェクトにすぎません」とステンバーグ氏は述べています。「これらすべての人々と彼らのガラクタマシンがどのように機能するかを変える力は私たちにはありません。私たちの生存と精神的な健康を維持するために、行動を起こす必要があります。」

バグ報奨金プログラムの廃止の決定は、cURLユーザーコミュニティ内で議論を呼んでいます。一部のユーザーは、この動きは理解できるものの、外部の研究者が脆弱性を特定して報告するための重要なインセンティブを排除することで、ツールの全体的なセキュリティに悪影響を与える可能性があると懸念を表明しました。この懸念は、バグ報奨金プログラムが、内部セキュリティ監査を補完し、潜在的な欠陥を捕捉するためのより広範なネットを提供する、費用対効果の高い方法と見なされることが多いという事実に起因しています。

セキュリティ専門家は、AIによって生成されたレポートの増加は、潜在的に問題がある一方で、オープンソースプロジェクトが直面するより広範な課題、つまり脆弱性レポートを効率的に管理および検証する必要性を浮き彫りにしていると指摘しています。SANS Instituteのサイバーセキュリティ研究者であるアリッサ・ジョンソン博士は、「AIは潜在的な脆弱性を特定するための有用なツールになり得る一方で、誤検知をフィルタリングし、報告された問題が実際に悪用可能であることを確認するためには、人間の監視が不可欠です」とコメントしました。AIによって生成されたレポートの大量の増加は、医療分野で十分に文書化されている現象であるアラート疲労を引き起こす可能性があり、過剰なアラームは、個人を真の緊急事態に鈍感にし、重要な対応を遅らせる可能性があります。

ステンバーグ氏は、セキュリティに関する懸念の妥当性を認めましたが、チームのリソースが限られていることを強調しました。同氏はさらに、軽薄または明らかに欠陥のあるレポートを提出する個人を積極的に禁止し、公に嘲笑すると述べ、時間の無駄な投稿に対するゼロトレランスポリシーを示唆しました。「くだらないレポートで私たちの時間を無駄にすれば、あなたを禁止し、公に嘲笑します」とステンバーグ氏は別の投稿で書いています。

cURLプロジェクトは現在、強化された内部コードレビューや信頼できるセキュリティ研究者とのコラボレーションなど、セキュリティを維持するための代替方法を模索しています。バグ報奨金プログラムの終了がcURLのセキュリティ体制に及ぼす長期的な影響はまだ不明ですが、この事件は、オープンソースプロジェクトが人工知能によってもたらされる課題と機会に適応する必要性が高まっていることを浮き彫りにしています。