<p>流行的開源數據傳輸工具 <code>cURL</code> 的維護者在面對大量 AI 生成的貢獻時，已結束該項目的漏洞賞金計劃。</p>
<p>首席維護者 Daniel Stenberg 上週在 GitHub 提交了一條名為 “BUG-BOUNTY.md: 我們將在 2026 年 1 月結束漏洞賞金計劃” 的提交。</p>
<p>讀者可能還記得，Stenberg 在 2024 年初開始抱怨 AI 生成的漏洞報告，並在 2025 年中考慮終止該項目的漏洞賞金計劃。在收到一些開發者通過 AI 幫助發現的強有力的漏洞報告後，Stenberg 承認 AI 可以成為一個很好的漏洞狩獵助手。</p>
<p>Stenberg 在一封郵件中提到他的決定，開頭提到上週該項目的漏洞賞金計劃產生了七份提交，雖然其中一些識別了漏洞，但沒有一份描述了安全漏洞。</p>
<p>弄清楚這一點花了 “相當長的時間”。</p>
<p>他隨後表達了希望結束漏洞賞金計劃將 “消除人們向我們提交垃圾和未經充分研究報告的動機，無論是 AI 生成的還是其他。”</p>
<p>“當前的提交潮對 curl 安全團隊造成了很大壓力，這是減少噪音的一次嘗試。”</p>
<p>Stenberg 的帖子還表達了他希望開發者繼續報告 “實際的安全漏洞……即使我們不為此付費。”</p>
<p>“未來會告訴我們，” 他補充道，也許不僅會揭示開發者是否會分享漏洞報告，還會揭示他們是否願意冒着公眾批評的風險，如果他們的提交未能達到 Stenberg 的標準。</p>
<ul>
<li>Gentoo 和 NetBSD 禁止 'AI' 代碼，但 Debian 還沒有 -</li>
<li>微軟 CEO Satya Nadella 成為 AI 大 V，呼籲我們超越垃圾</li>
<li>僅僅因為 Linus Torvalds 進行代碼編寫並不意味着這是個好主意</li>
<li>Gentoo 和 NetBSD 禁止 'AI' 代碼，但 Debian 還沒有 -</li>
</ul>
<p>Stenberg 在帖子的一部分中解釋了他的立場，考慮到他對那些向漏洞賞金計劃提交 “愚蠢的 AI 生成提交” 的人進行公開羞辱的政策。</p>
<p>在這一部分中，他透露了與他批評的其中一位人士的最近討論。</p>
<p>“這對我來説很有用，讓我記住這些人往往只是普通的被誤導的人，他們可能真的會從中學習，甚至改變，” 他寫道。</p>
<p>但 Stenberg 保留了在公眾面前憤怒的權利。</p>
<p>“這當然是一個平衡，但我也繼續相信，揭露、討論和嘲笑那些浪費我們時間的人是傳達信息的更好方式之一：你絕對不應該報告一個漏洞或安全漏洞，除非你真的理解它——並且能夠重現它。”</p>
<p>“如果你仍然這樣做，我相信我有權嘲笑——並對這樣做的人感到憤怒，” 他補充道，但承認他在某些情況下也需要剋制自己。</p>
<p>“這個人可能是一個十幾歲的孩子，犯了一個一次性的錯誤，然後會繼續生活，將來做出優秀的東西，” 他寫道。 ®</p>

<p>cURL 的維護者已終止其漏洞賞金計劃，原因是湧入的 AI 生成提交使安全團隊不堪重負。Daniel Stenberg 宣佈了這一決定，表示該計劃將於 2026 年 1 月結束，因為許多提交缺乏質量，未能識別出真實的漏洞。他希望這一舉措能抑制低質量報告，同時鼓勵真實漏洞的提交，即使沒有經濟激勵。Stenberg 還討論了在報告漏洞之前理解和重現漏洞的重要性，強調在漏洞提交中質量重於數量的必要性</p>

<p>The maintainer of popular open-source data transfer tool <code>cURL</code> has ended the project’s bug bounty program after maintainers struggled to assess a flood of AI-generated contributions.</p>
<div class="lb-trans"><p>流行的開源數據傳輸工具 <code>cURL</code> 的維護者在面對大量 AI 生成的貢獻時，已結束該項目的漏洞賞金計劃。</p>
</div><p>Curler-in-chief Daniel Stenberg last week lodged a GitHub commit named “BUG-BOUNTY.md: we stop the bug-bounty end of Jan 2026”.</p>
<div class="lb-trans"><p>首席維護者 Daniel Stenberg 上週在 GitHub 提交了一條名為 “BUG-BOUNTY.md: 我們將在 2026 年 1 月結束漏洞賞金計劃” 的提交。</p>
</div><p>Readers may recall that Stenberg started complaining about AI-generated bug reports in early 2024, and by mid-2025 contemplated killing the project’s bug bounty program. After receiving some strong bug reports that a developer found with help from AI, Stenberg acknowledged that AI can be a fine bug-hunting aid.</p>
<div class="lb-trans"><p>讀者可能還記得，Stenberg 在 2024 年初開始抱怨 AI 生成的漏洞報告，並在 2025 年中考慮終止該項目的漏洞賞金計劃。在收到一些開發者通過 AI 幫助發現的強有力的漏洞報告後，Stenberg 承認 AI 可以成為一個很好的漏洞狩獵助手。</p>
</div><p>Stenberg addressed his decision in a mailing message that opened with news that last week the project’s bug bounty scheme generated seven submissions and that while some identified bugs, none described a vulnerability.</p>
<div class="lb-trans"><p>Stenberg 在一封郵件中提到他的決定，開頭提到上週該項目的漏洞賞金計劃產生了七份提交，雖然其中一些識別了漏洞，但沒有一份描述了安全漏洞。</p>
</div><p>Figuring that out took “a good while.”</p>
<div class="lb-trans"><p>弄清楚這一點花了 “相當長的時間”。</p>
</div><p>He then expressed his hope that ending the bug bounty program will “remove the incentive for people to submit crap and non-well researched reports to us. AI generated or not.”</p>
<div class="lb-trans"><p>他隨後表達了希望結束漏洞賞金計劃將 “消除人們向我們提交垃圾和未經充分研究報告的動機，無論是 AI 生成的還是其他。”</p>
</div><p>“The current torrent of submissions put a high load on the curl security team and this is an attempt to reduce the noise.”</p>
<div class="lb-trans"><p>“當前的提交潮對 curl 安全團隊造成了很大壓力，這是減少噪音的一次嘗試。”</p>
</div><p>Stenberg’s post also expresses his hope that developers continue to send reports of “actual security vulnerabilities … even if we do not pay for them.”</p>
<div class="lb-trans"><p>Stenberg 的帖子還表達了他希望開發者繼續報告 “實際的安全漏洞……即使我們不為此付費。”</p>
</div><p>“The future will tell,” he added, and perhaps reveal not just whether developers will share bug reports, but also if they are willing to risk public criticism if their submissions don’t meet Stenberg’s standards.</p>
<div class="lb-trans"><p>“未來會告訴我們，” 他補充道，也許不僅會揭示開發者是否會分享漏洞報告，還會揭示他們是否願意冒着公眾批評的風險，如果他們的提交未能達到 Stenberg 的標準。</p>
</div><ul>
<li>Gentoo and NetBSD ban 'AI' code, but Debian doesn't – yet</li>
<li>Microsoft CEO Satya Nadella becomes AI influencer, asks us all to move beyond slop</li>
<li>Just because Linus Torvalds vibe codes doesn't mean it's a good idea</li>
<li>Gentoo and NetBSD ban 'AI' code, but Debian doesn't – yet</li>
</ul>
<div class="lb-trans"><ul>
<li>Gentoo 和 NetBSD 禁止 'AI' 代碼，但 Debian 還沒有 -</li>
<li>微軟 CEO Satya Nadella 成為 AI 大 V，呼籲我們超越垃圾</li>
<li>僅僅因為 Linus Torvalds 進行代碼編寫並不意味着這是個好主意</li>
<li>Gentoo 和 NetBSD 禁止 'AI' 代碼，但 Debian 還沒有 -</li>
</ul>
</div><p>Stenberg explained his stance in a section of the post that considers his policy of publicly shaming those who submit “silly AI-generated submissions” to the bounty program.</p>
<div class="lb-trans"><p>Stenberg 在帖子的一部分中解釋了他的立場，考慮到他對那些向漏洞賞金計劃提交 “愚蠢的 AI 生成提交” 的人進行公開羞辱的政策。</p>
</div><p>In that section, he reveals a recent discussion with one of the people he criticized.</p>
<div class="lb-trans"><p>在這一部分中，他透露了與他批評的其中一位人士的最近討論。</p>
</div><p>“It was useful for me to make me remember that oftentimes these people are just ordinary misled humans and they might actually learn from this and perhaps even change,” he wrote.</p>
<div class="lb-trans"><p>“這對我來説很有用，讓我記住這些人往往只是普通的被誤導的人，他們可能真的會從中學習，甚至改變，” 他寫道。</p>
</div><p>But Stenberg reserved the right to rage in public.</p>
<div class="lb-trans"><p>但 Stenberg 保留了在公眾面前憤怒的權利。</p>
</div><p>“This is a balance of course, but I also continue to believe that exposing, discussing and ridiculing the ones who waste our time is one of the better ways to get the message through: you should NEVER report a bug or a vulnerability unless you actually understand it – and can reproduce it.”</p>
<div class="lb-trans"><p>“這當然是一個平衡，但我也繼續相信，揭露、討論和嘲笑那些浪費我們時間的人是傳達信息的更好方式之一：你絕對不應該報告一個漏洞或安全漏洞，除非你真的理解它——並且能夠重現它。”</p>
</div><p>“If you still do, I believe I am in the right to make fun of – and be angry at – the person doing it,” he added, before conceding that he also needs to restrain himself on some occasions.</p>
<div class="lb-trans"><p>“如果你仍然這樣做，我相信我有權嘲笑——並對這樣做的人感到憤怒，” 他補充道，但承認他在某些情況下也需要剋制自己。</p>
</div><p>“The person might be a teenage kid who did a single one-time mistake and will then move on in life and make excellent stuff in the future,” he wrote. ®</p>
<div class="lb-trans"><p>“這個人可能是一個十幾歲的孩子，犯了一個一次性的錯誤，然後會繼續生活，將來做出優秀的東西，” 他寫道。 ®</p>
</div>

Curl 關閉漏洞賞金計劃以消除提交 AI 生成垃圾的動機