<p>流行的开源数据传输工具 <code>cURL</code> 的维护者在面对大量 AI 生成的贡献时，已结束该项目的漏洞赏金计划。</p>
<p>首席维护者 Daniel Stenberg 上周在 GitHub 提交了一条名为 “BUG-BOUNTY.md: 我们将在 2026 年 1 月结束漏洞赏金计划” 的提交。</p>
<p>读者可能还记得，Stenberg 在 2024 年初开始抱怨 AI 生成的漏洞报告，并在 2025 年中考虑终止该项目的漏洞赏金计划。在收到一些开发者通过 AI 帮助发现的强有力的漏洞报告后，Stenberg 承认 AI 可以成为一个很好的漏洞狩猎助手。</p>
<p>Stenberg 在一封邮件中提到他的决定，开头提到上周该项目的漏洞赏金计划产生了七份提交，虽然其中一些识别了漏洞，但没有一份描述了安全漏洞。</p>
<p>弄清楚这一点花了 “相当长的时间”。</p>
<p>他随后表达了希望结束漏洞赏金计划将 “消除人们向我们提交垃圾和未经充分研究报告的动机，无论是 AI 生成的还是其他。”</p>
<p>“当前的提交潮对 curl 安全团队造成了很大压力，这是减少噪音的一次尝试。”</p>
<p>Stenberg 的帖子还表达了他希望开发者继续报告 “实际的安全漏洞……即使我们不为此付费。”</p>
<p>“未来会告诉我们，” 他补充道，也许不仅会揭示开发者是否会分享漏洞报告，还会揭示他们是否愿意冒着公众批评的风险，如果他们的提交未能达到 Stenberg 的标准。</p>
<ul>
<li>Gentoo 和 NetBSD 禁止 'AI' 代码，但 Debian 还没有 -</li>
<li>微软 CEO Satya Nadella 成为 AI 大 V，呼吁我们超越垃圾</li>
<li>仅仅因为 Linus Torvalds 进行代码编写并不意味着这是个好主意</li>
<li>Gentoo 和 NetBSD 禁止 'AI' 代码，但 Debian 还没有 -</li>
</ul>
<p>Stenberg 在帖子的一部分中解释了他的立场，考虑到他对那些向漏洞赏金计划提交 “愚蠢的 AI 生成提交” 的人进行公开羞辱的政策。</p>
<p>在这一部分中，他透露了与他批评的其中一位人士的最近讨论。</p>
<p>“这对我来说很有用，让我记住这些人往往只是普通的被误导的人，他们可能真的会从中学习，甚至改变，” 他写道。</p>
<p>但 Stenberg 保留了在公众面前愤怒的权利。</p>
<p>“这当然是一个平衡，但我也继续相信，揭露、讨论和嘲笑那些浪费我们时间的人是传达信息的更好方式之一：你绝对不应该报告一个漏洞或安全漏洞，除非你真的理解它——并且能够重现它。”</p>
<p>“如果你仍然这样做，我相信我有权嘲笑——并对这样做的人感到愤怒，” 他补充道，但承认他在某些情况下也需要克制自己。</p>
<p>“这个人可能是一个十几岁的孩子，犯了一个一次性的错误，然后会继续生活，将来做出优秀的东西，” 他写道。 ®</p>

<p>cURL 的维护者已终止其漏洞赏金计划，原因是涌入的 AI 生成提交使安全团队不堪重负。Daniel Stenberg 宣布了这一决定，表示该计划将于 2026 年 1 月结束，因为许多提交缺乏质量，未能识别出真实的漏洞。他希望这一举措能抑制低质量报告，同时鼓励真实漏洞的提交，即使没有经济激励。Stenberg 还讨论了在报告漏洞之前理解和重现漏洞的重要性，强调在漏洞提交中质量重于数量的必要性</p>

<p>The maintainer of popular open-source data transfer tool <code>cURL</code> has ended the project’s bug bounty program after maintainers struggled to assess a flood of AI-generated contributions.</p>
<div class="lb-trans"><p>流行的开源数据传输工具 <code>cURL</code> 的维护者在面对大量 AI 生成的贡献时，已结束该项目的漏洞赏金计划。</p>
</div><p>Curler-in-chief Daniel Stenberg last week lodged a GitHub commit named “BUG-BOUNTY.md: we stop the bug-bounty end of Jan 2026”.</p>
<div class="lb-trans"><p>首席维护者 Daniel Stenberg 上周在 GitHub 提交了一条名为 “BUG-BOUNTY.md: 我们将在 2026 年 1 月结束漏洞赏金计划” 的提交。</p>
</div><p>Readers may recall that Stenberg started complaining about AI-generated bug reports in early 2024, and by mid-2025 contemplated killing the project’s bug bounty program. After receiving some strong bug reports that a developer found with help from AI, Stenberg acknowledged that AI can be a fine bug-hunting aid.</p>
<div class="lb-trans"><p>读者可能还记得，Stenberg 在 2024 年初开始抱怨 AI 生成的漏洞报告，并在 2025 年中考虑终止该项目的漏洞赏金计划。在收到一些开发者通过 AI 帮助发现的强有力的漏洞报告后，Stenberg 承认 AI 可以成为一个很好的漏洞狩猎助手。</p>
</div><p>Stenberg addressed his decision in a mailing message that opened with news that last week the project’s bug bounty scheme generated seven submissions and that while some identified bugs, none described a vulnerability.</p>
<div class="lb-trans"><p>Stenberg 在一封邮件中提到他的决定，开头提到上周该项目的漏洞赏金计划产生了七份提交，虽然其中一些识别了漏洞，但没有一份描述了安全漏洞。</p>
</div><p>Figuring that out took “a good while.”</p>
<div class="lb-trans"><p>弄清楚这一点花了 “相当长的时间”。</p>
</div><p>He then expressed his hope that ending the bug bounty program will “remove the incentive for people to submit crap and non-well researched reports to us. AI generated or not.”</p>
<div class="lb-trans"><p>他随后表达了希望结束漏洞赏金计划将 “消除人们向我们提交垃圾和未经充分研究报告的动机，无论是 AI 生成的还是其他。”</p>
</div><p>“The current torrent of submissions put a high load on the curl security team and this is an attempt to reduce the noise.”</p>
<div class="lb-trans"><p>“当前的提交潮对 curl 安全团队造成了很大压力，这是减少噪音的一次尝试。”</p>
</div><p>Stenberg’s post also expresses his hope that developers continue to send reports of “actual security vulnerabilities … even if we do not pay for them.”</p>
<div class="lb-trans"><p>Stenberg 的帖子还表达了他希望开发者继续报告 “实际的安全漏洞……即使我们不为此付费。”</p>
</div><p>“The future will tell,” he added, and perhaps reveal not just whether developers will share bug reports, but also if they are willing to risk public criticism if their submissions don’t meet Stenberg’s standards.</p>
<div class="lb-trans"><p>“未来会告诉我们，” 他补充道，也许不仅会揭示开发者是否会分享漏洞报告，还会揭示他们是否愿意冒着公众批评的风险，如果他们的提交未能达到 Stenberg 的标准。</p>
</div><ul>
<li>Gentoo and NetBSD ban 'AI' code, but Debian doesn't – yet</li>
<li>Microsoft CEO Satya Nadella becomes AI influencer, asks us all to move beyond slop</li>
<li>Just because Linus Torvalds vibe codes doesn't mean it's a good idea</li>
<li>Gentoo and NetBSD ban 'AI' code, but Debian doesn't – yet</li>
</ul>
<div class="lb-trans"><ul>
<li>Gentoo 和 NetBSD 禁止 'AI' 代码，但 Debian 还没有 -</li>
<li>微软 CEO Satya Nadella 成为 AI 大 V，呼吁我们超越垃圾</li>
<li>仅仅因为 Linus Torvalds 进行代码编写并不意味着这是个好主意</li>
<li>Gentoo 和 NetBSD 禁止 'AI' 代码，但 Debian 还没有 -</li>
</ul>
</div><p>Stenberg explained his stance in a section of the post that considers his policy of publicly shaming those who submit “silly AI-generated submissions” to the bounty program.</p>
<div class="lb-trans"><p>Stenberg 在帖子的一部分中解释了他的立场，考虑到他对那些向漏洞赏金计划提交 “愚蠢的 AI 生成提交” 的人进行公开羞辱的政策。</p>
</div><p>In that section, he reveals a recent discussion with one of the people he criticized.</p>
<div class="lb-trans"><p>在这一部分中，他透露了与他批评的其中一位人士的最近讨论。</p>
</div><p>“It was useful for me to make me remember that oftentimes these people are just ordinary misled humans and they might actually learn from this and perhaps even change,” he wrote.</p>
<div class="lb-trans"><p>“这对我来说很有用，让我记住这些人往往只是普通的被误导的人，他们可能真的会从中学习，甚至改变，” 他写道。</p>
</div><p>But Stenberg reserved the right to rage in public.</p>
<div class="lb-trans"><p>但 Stenberg 保留了在公众面前愤怒的权利。</p>
</div><p>“This is a balance of course, but I also continue to believe that exposing, discussing and ridiculing the ones who waste our time is one of the better ways to get the message through: you should NEVER report a bug or a vulnerability unless you actually understand it – and can reproduce it.”</p>
<div class="lb-trans"><p>“这当然是一个平衡，但我也继续相信，揭露、讨论和嘲笑那些浪费我们时间的人是传达信息的更好方式之一：你绝对不应该报告一个漏洞或安全漏洞，除非你真的理解它——并且能够重现它。”</p>
</div><p>“If you still do, I believe I am in the right to make fun of – and be angry at – the person doing it,” he added, before conceding that he also needs to restrain himself on some occasions.</p>
<div class="lb-trans"><p>“如果你仍然这样做，我相信我有权嘲笑——并对这样做的人感到愤怒，” 他补充道，但承认他在某些情况下也需要克制自己。</p>
</div><p>“The person might be a teenage kid who did a single one-time mistake and will then move on in life and make excellent stuff in the future,” he wrote. ®</p>
<div class="lb-trans"><p>“这个人可能是一个十几岁的孩子，犯了一个一次性的错误，然后会继续生活，将来做出优秀的东西，” 他写道。 ®</p>
</div>

Curl 关闭漏洞赏金计划以消除提交 AI 生成垃圾的动机