cURL 脆弱性報酬プログラム廃止の衝撃：AI生成の『ゴミ報告』がオープンソースを壊す

cURLの開発者ダニエル・ステンバーグ氏が、AI生成の低品質な報告急増により脆弱性報酬プログラムの廃止を発表。オープンソースプロジェクトが直面するAIスロップ問題と、メンテナーの負担、今後のセキュリティへの影響を解説します。

AIが生成した「ゴミ（slop）」が、インターネットの重要インフラを麻痺させています。世界で最も普及しているネットワークツールの一つであるcURLの開発チームは、AIによって作成された低品質な脆弱性報告の急増を受け、脆弱性報告に対する報酬プログラムの廃止を決定しました。

cURL 脆弱性報酬プログラム廃止に追い込んだAIスロップの脅威

cURLの創設者でありリード開発者のダニエル・ステンバーグ氏によると、今回の決定は「プロジェクトの生存とメンタルヘルスの維持」を目的としています。報酬を目当てに、AIを使って自動生成された実体のない脆弱性報告が大量に送りつけられ、少人数のメンテナンス担当者がその対応に追われて本来の開発業務に支障をきたしているのが現状です。

広告掲載について

[email protected]

ステンバーグ氏は自身のブログで、「私たちは少数のアクティブなメンテナーで構成される小さなオープンソースプロジェクトに過ぎない」と述べ、AIという「ゴミ製造機」に対抗する力は残されていないと苦渋の決断を明かしました。

セキュリティ維持への懸念と苦渋の選択

一部のユーザーからは、報酬プログラムの廃止がツールのセキュリティ品質低下を招くのではないかという懸念の声も上がっています。しかし、ステンバーグ氏はこの懸念に理解を示しつつも、現状のままではチームが崩壊してしまうと強調しました。AIによって「捏造されたバグ」を一つずつ検証するコストは、オープンソースの善意で支えられているコミュニティにとって、もはや許容できる範囲を超えています。