Das Curl-Projekt kämpft immer noch mit falschen Fehlermeldungen, die KI-Systeme generieren. Das Entwicklerteam denkt jetzt sogar offen darüber nach, das Bug-Bounty-Programm einzustellen.
Immer wieder reichen findige Personen Fehlerberichte ein, die sie ganz offensichtlich mithilfe einer fantasierenden KI erstellt haben. Die Curl-Entwickler müssen diese Berichte zeitaufwendig sichten und dann schließlich als Nonsens aussortieren. An jeder gemeldeten Sicherheitslücke arbeiten bis zu vier Personen für mindestens eine halbe Stunde. Das bindet Arbeitskraft, die man an anderer Stelle besser investieren könnte.
Mit diesem sogenannten „AI Slop“ kämpft das Curl-Projekt schon seit einiger Zeit. Wie Curl-Erfinder und Chef-Entwickler Daniel Stenberg in einem Blog-Beitrag berichtet, eskaliert die Situation aber offenbar weiter. So erhalte man neben „AI Slop“ zunehmend auch „Human Slop“. Bei letztgenannten Meldungen lässt sich nicht direkt entscheiden, ob es von einer künstlichen Intelligenz stammt.
Anziehend für viele Meldungen scheint auch das Bug-Bounty-Programm zu sein: Wer eine Sicherheitslücke in Curl meldet, hat die Chance auf eine monetäre Belohnung. Das kann durchaus lukrativ sein. So hat das Curl-Projekt seit 2019 nach eigenen Angaben über 90.000 US-Dollar ausgeschüttet. Das Bug-Bounty-Programm wickelt HackerOne ab. Diese Plattform bietet zwar einen Mechanismus, der Falschmeldungen abstraft, Nutzer können aber beliebig viele neue Konten mit einer weißen Weste anlegen.
Um sich und insbesondere das Sicherheitsteam zu entlasten, denkt Daniel Stenberg offen darüber nach, das Bug-Bounty-Programm komplett einzustellen. Allerdings würde diese Maßnahme Curl weniger attraktiv für professionelle Sicherheitsforscher machen – und vermutlich den AI Slop nicht vollständig unterbinden. Daniel Stenberg hält die Einstellung des Bug-Bounty-Programms jedoch offenbar für notwendig.
In den Kommentaren zu seinem Blog-Post liefert die Community bereits weitere alternative Vorschläge und Vorgehensweisen, zu denen sich Daniel Stenberg aber noch nicht geäußert hat.
