著名开源项目curl（cURL）的创办人Daniel Stenberg近日在LinkedIn上发文表示，该项目近来收到越来越多由AI工具生成的漏洞报告，内容错误百出却措辞客气完整，严重浪费开发者的时间。他更形容这些AI产出的回应已构成类似DDoS攻击的压力，直言“如果可以，我们真想向这些人收钱”。

curl是一款诞生于1998年、至今已有超过25年历史的命令行数据传输工具与函数库，被广泛应用于各类网络资源互动。该项目通过多个信道接收漏洞回应，包括广为人知的HackerOne漏洞赏金平台，而该平台近年也积极导入AI技术辅助回应。

但Stenberg表示，他已经受够了这股“AI疯潮”，未来每一则HackerOne的回应只要被怀疑是AI生成，都会要求回应者承认是否使用AI工具产生内容。如果被认定是“AI垃圾内容（AI slop）”，该账号将被封禁。他坦言：“目前我们还没看过任何一份由AI协助产生的安全漏洞回应是有用的。”

其中一份让他“爆气”的案例，是一则声称发现HTTP/3协议中的数据流依赖循环问题，可能导致curl发生远程程序执行（RCE）的高风险漏洞。然而报告中所提供的修补程序不仅无法套用至最新版本，报告者也无法针对技术细节提出合理解释，反而贴出一些像是ChatGPT输出般的内容，例如“什么是循环依赖？”以及不相关的Git使用教学。此外，还提及一些根本不存在的程序库函数与错误建议其他工具的安全强化方式。

针对事件，HackerOne联合创办人暨CTO Alex Rice表示，平台会将任何包含虚构漏洞、模糊或错误技术内容的报告视为垃圾消息，并采取处理措施。他补充指出，HackerOne支持负责任地使用AI工具，“关键在于AI应提升回应品质，而非增加噪音。”

Stenberg则表示，这一周就收到至少四份明显是由AI生成的漏洞回应，多数内容“文笔完美、语气礼貌、条列清晰”，但就是没有技术含量。他甚至提到有一位报告者不小心把AI指令提示也一并贴进报告中，最后还写上“请让这听起来更惊悚”。

他也呼吁HackerOne应加强管理并提供更有效的防堵工具，并与开源安全专家讨论可能的解决方案，如：要求提交者先支付保证金再审查，以减少乱枪打鸟式的滥用情况。

Python软件基金会的安全专家Seth Larson也发文支持，指出他观察到的现象与curl类似，认为这类“AI垃圾回应”已对多个开源社交媒体造成实际干扰，情况令人担忧。