漏洞报告太多精力不足 cURL宣布将低危漏洞报告改成公开处理 高危问题继续保密
内容提要
cURL宣布自2026年10月26日起，低危和中危漏洞报告将直接提交至公开GitHub仓库，高危和严重漏洞仍通过HackerOne保密提交。由于超九成报告属中低危，且AI辅助研究增加了审查负担，团队希望借公开议题让社区参与复核、分摊压力，代价是漏洞细节提前公开，攻击者可能获得更多利用时间。
延伸解读
公开处理中低危漏洞的权衡
cURL将中低危漏洞报告转为公开GitHub议题，核心是让社区参与复核以分摊维护压力。由于超九成报告属中低危，公开后更多开发者可协助判断问题是否成立、完善修复并查找相似问题，发行版和用户也能更早获知信息。但代价是漏洞细节提前公开，攻击者可能在修复发布前获得更多利用时间，形成效率与安全的直接权衡。
AI辅助研究带来的审查负担
文章指出，漏洞报告数量持续增加已使cURL团队负担过重，部分AI辅助研究会尝试罕见选项组合，将不太可能出现在真实应用中的异常行为报告为安全问题。团队需逐个判断问题是否成立、是否影响现实使用，再决定修复和发布公告。这种低质量或边缘性报告增多，是推动中低危报告公开处理的重要背景。
分级提交与不确定情况的处理
新流程要求研究员预先评估漏洞等级：低危和中危直接提交公开GitHub仓库，高危和严重级别仍通过HackerOne保密提交。若研究员无法判断等级，仍可私下联系团队，由团队评估后决定是否转为公开议题。这一设计保留了高危漏洞的保密通道，同时为不确定等级的报告提供了过渡路径，避免因误判导致高危细节提前暴露。
Q&A
cURL 从什么时候开始改变漏洞报告的处理方式？
从 2026 年 10 月 26 日开始。
低危和中危漏洞报告以后怎么提交？
直接提交到公开的 GitHub 仓库，作为公开议题处理。
高危和严重漏洞还能保密提交吗？
可以，高危和严重级别的漏洞仍然通过 HackerOne 保密提交处理。
为什么 cURL 要把中低危漏洞报告公开处理？
因为超过 90% 的报告属于低危或中危，且 AI 辅助研究增加了审查负担，团队希望让社区参与复核、分摊压力。
如果研究员无法判断漏洞等级该怎么办？
仍然可以通过私下渠道联系开发团队，团队评估后若确认是低危或高危，会将其转为 GitHub 公开议题。
公开处理中低危漏洞有什么风险？
漏洞细节会被提前公开，攻击者可能在修复发布前获得更多利用时间。
