主要观点总结
本文讲述了开源项目curl的创始人Daniel Stenberg因受到大量由AI生成的漏洞报告困扰，近期引入额外复选框以过滤这些低效提交内容的故事。同时，Python开发团队的Seth Larson也对此类AI漏洞报告表达了担忧。文章还涉及了关于开源维护者正被AI生成的bug报告淹没、有人利用漏洞赏金钻空子等问题。网友对此现象表示担忧，并指出生成式AI工具让低技能人士有机会利用AI生成内容快速提交报告。
关键观点总结
关键观点1: curl创始人受够了AI生成的“垃圾”漏洞报告，引入复选框以过滤低效提交内容。
Stenberg表示项目维护人员需要花费大量时间分类每份提交的AI辅助漏洞报告，但这些报告内容往往一无是处。他呼吁所有提交curl相关安全报告的研究人员必须回答是否使用AI发现漏洞或生成报告，如果被认定为提交AI垃圾内容的报告者将被封禁。
关键观点2: 开源维护者正被AI生成的bug报告淹没。
Python开发团队的Seth Larson对AI生成的漏洞报告表达了担忧，指出这些低质量的报告给维护人员带来了困惑、压力和沮丧，甚至加剧了开源项目中贡献者们的倦怠情绪。他强调单纯依赖技术升级无法从根本上解决问题，开源安全领域需要进行系统性变革。
关键观点3: AI生成的bug报告引发社区共鸣。
越来越多的漏洞报告开始由AI自动涌入开源社区，开发者们对此感到恐慌。许多AI生成的报告看起来很专业，导致开发者陷入无休止的验证和澄清工作。社区中的共鸣和网友的评论揭示了AI生成的bug报告对开源社区造成的负面影响。
正文
Larson 写道，“这些纯属浪费时间的安全报告带给维护人员的不只是困惑、压力和沮丧，更糟糕的是，由于此类报告的保密性质，他们还会产生一种强烈的孤独感。这种种负面感受叠加起来，最终加剧了开源项目中这群备受依赖的贡献者们的倦怠情绪。”
“从各个方面来看，这些低质量的报告都应该被视为恶意内容。即使并非出自本意，结果仍然会导致维护人员身心俱疲，甚至抗拒从事正常的安全工作。
Larson 认为，低质量的报告应该被视为恶意报告。
垃圾、低质量的网络内容早在聊天机器人出现之前就已存在，但 AIGC 模型让这类内容的产生变得更加容易，其结果是新闻业、网络搜索，还有社交媒体都糟到了不同程度的污染。
对于开源项目而言，AI 辅助生成的漏洞报告危害尤甚，因为这些报告仍需占用安全工程师（其中很多是志愿者）本已十分有限的审阅和评估时间。
Larson 针对 AI 生成漏洞报告的问题发出了深刻警示，他指出，Python 和 pip 生态系统中出现的问题具有典型性和扩散性特征，很可能在其他开源项目中以更严重的程度重现。
这一警告背后反映的是对开源维护者群体的深切担忧——那些独立支撑项目安全的维护者们正面临前所未有的挑战。当这些维护者缺乏对 AI 生成报告泛滥现状的认知时，他们宝贵的审阅时间就会被大量虚假报告所吞噬。
这种状况造成的恶性循环尤为严重：志愿者被迫将有限精力耗费在毫无价值的报告审核上，
这种持续的精神消耗和成就感缺失，最终将导致维护者群体出现职业倦怠甚至大规模流失
。
面对这一严峻形势，Larson 强调，开源社区必须采取前瞻性行动来遏制潜在危害的扩大。
Larson 特别指出，单纯依赖技术升级无法从根本上解决问题，开源安全领域需要进行系统性变革。当前由少数维护者承担主要安全责任的模式已难以为继，必须建立更加规范化、透明化的贡献监管体系。
当然，这一改革需要回答一个核心命题：如何构建更健康、可持续的开源参与机制？
Larson 提出了两个关键路径：其一是通过资金支持（如 Alpha-Omega 等专项资助计划）来提升项目可持续性；其二是鼓励更多专业人士贡献工作时间，形成多元化的参与格局。
那具体到底要怎么做？Larson 向开源社区各方发出了呼吁，也就是 bug 提交者和漏洞管理平台应该各尽其责。
对于漏洞提交者，Larson 强调必须恪守专业伦理，杜绝直接提交未经人工核实的 AI 生成报告，因为现有 AI 技术尚不具备真正的代码理解能力。
对于漏洞管理平台，则要求其承担起守门人责任，通过技术手段和管理制度双重约束，尽可能去遏制自动化工具滥用和恶意报告泛滥的现象。
尽管之前几年 Stenberg 曾公开表示添加 AI 过滤器不是个好主意，在如今汹涌而来的 HackerOne 报告面前似乎也已别无他法。
