cURL的Daniel Stenberg：AI垃圾信息正在对开源造成DDoS攻击
内容提要
在2026年FOSDEM大会上，cURL创始人Stenberg指出，AI既能产生虚假安全报告，也能发现深层漏洞。他暂停了cURL的漏洞奖励计划，以应对AI生成的低质量报告。他认为AI是工具，可以在经验丰富的工程师手中提升开源安全，但对其生成生产代码持怀疑态度，最终维护者需决定如何利用AI。
关键要点
-
在2026年FOSDEM大会上，cURL创始人Stenberg指出AI既能产生虚假安全报告，也能发现深层漏洞。
-
Stenberg暂停了cURL的漏洞奖励计划，以应对AI生成的低质量报告。
-
他认为AI是工具，可以在经验丰富的工程师手中提升开源安全，但对其生成生产代码持怀疑态度。
-
cURL的漏洞奖励计划导致了大量虚假报告，只有约六分之一的报告是真实的。
-
关闭漏洞奖励计划旨在消除金钱激励，减少低质量报告的数量。
-
Stenberg强调AI工具在经验丰富的工程师手中能够发现许多以前未被发现的漏洞。
-
他使用AI审查机器人来帮助检查代码，但对AI生成的生产代码持怀疑态度。
-
Stenberg指出，AI生成的贡献并未根本改变cURL的风险模型。
-
他提到其他开源项目也面临AI生成的垃圾报告和真实漏洞的挑战。
-
Stenberg呼吁项目应对垃圾报告和AI抓取者进行实验性防御，强调人类选择的重要性。
延伸解读
AI对开源安全的双刃剑效应
Stenberg指出，AI在开源安全中既有积极作用，也带来了负面影响。虽然AI工具能够发现深层漏洞，但同时也生成大量虚假的安全报告，给维护者带来压力。这种双重性要求项目团队在使用AI时保持谨慎，确保其能真正提升安全性而非增加负担。
漏洞奖励计划的挑战
cURL暂停漏洞奖励计划是为了应对AI生成的低质量报告。Stenberg强调，金钱激励可能导致报告者利用AI工具生成虚假报告，进而影响项目的安全性。项目维护者需重新评估激励机制，以确保报告的真实性和有效性。
人类选择的重要性
Stenberg强调，AI工具的使用最终取决于人类的选择。虽然AI可以提高代码安全性，但也可能导致错误的决策。维护者和社区需要对AI生成的内容进行严格审查，以确保其对开源项目的贡献是积极的，而不是带来更多的噪音和风险。
延伸问答
Daniel Stenberg在FOSDEM大会上对AI的看法是什么？
Stenberg认为AI既能产生虚假安全报告，也能发现深层漏洞，强调AI是工具，能在经验丰富的工程师手中提升开源安全。
为什么cURL暂停了漏洞奖励计划？
cURL暂停漏洞奖励计划是因为AI生成的低质量报告使得安全团队不堪重负，导致大量虚假报告。
AI生成的安全报告对开源项目有什么风险？
AI生成的安全报告可能导致真实漏洞被忽视，从而危及软件供应链的安全。
Stenberg如何看待AI在代码审查中的应用？
Stenberg使用AI审查机器人来帮助检查代码，但对AI生成的生产代码持怀疑态度，认为其建议不够可靠。
cURL的漏洞报告中真实报告的比例是多少？
在2025年之前，cURL的真实安全报告比例约为六分之一，之后降至一二十或三十个报告中才有一个真实。
Stenberg对AI生成的代码有什么看法？
Stenberg对AI生成的代码持怀疑态度，认为这些代码的建议不够好，不应盲目接受。
