"Los investigadores de seguridad que tengan dudas aún pueden enviar el problema a través de HackerOne y nosotros podemos decirles qué gravedad consideramos que tiene. En los últimos años, más del 90 por ciento de todas las presentaciones pudieron evaluarse rápidamente como inferiores a ALTA".

Stenberg ya cerró el programa de recompensas por errores de curl este año, ya que las presentaciones generadas por IA acumularon trabajo para su equipo de seguridad.

Stenberg ha reconocido previamente que no todos los informes asistidos por IA son malos, pero la carga de trabajo exige ahora otra respuesta.

"Este cambio de política es desencadenado enteramente por la actual avalancha de informes de vulnerabilidades que no dejan de llegar. No vemos un final para ellos y no anticipamos que esta inundación disminuya en los próximos meses.

Estamos luchando como proyecto ya que todos los mantenedores clave se sienten tensos, sobrecargados y al límite de lo que podemos soportar. Debemos actuar para sobrevivir. Este es nuestro siguiente paso en una estrategia de supervivencia. Puede que no sea el último. Nuestro objetivo es no ahogarnos".

El manejo público permitiría que más personas evalúen los informes, desarrollen correcciones, escriban avisos y comprueben problemas relacionados antes de que se lancen las versiones, dijo Stenberg.

Gestionar los informes de vulnerabilidades públicamente no reducirá el trabajo por informe, admite, aunque podría repartir la carga y hacer que las lecciones y la documentación resultantes sean más fáciles de encontrar. Al menos esa es la teoría.

La divulgación pública también da a los atacantes más tiempo para explotar los fallos antes de que lleguen las correcciones. El mantenedor coincide en que esto es lamentable pero inevitable.

"Limitamos esta práctica a niveles inferiores a ALTO por esta razón: al menos estos problemas no son terribles".

Stenberg afirmó que los investigadores que utilizan IA están generando combinaciones de opciones inusuales que difícilmente ocurrirían en aplicaciones reales, y luego tratan discrepancias menores como vulnerabilidades.

"No podemos continuar por este camino espiral con nuestra cordura intacta. No tenemos el ancho de banda, la mano de obra ni siquiera la voluntad de manejar un flujo interminable de informes de vulnerabilidades a este ritmo. Creo que pocos proyectos de software pueden soportar este tipo de diluvio de alto volumen prolongado durante periodos extensos. Algo tiene que ceder".

Fuente:
TheRegister