Curl がバグバウンティ・プログラムを終了：AI が生成する低品質レポートへの対応

Curl to End Bug Bounty Following Low-Quality AI-Generated Vulnerability Reports

2026/01/26 CyberSecurityNews — curl プロジェクトは、2026年1月をもってバグ・バウンティ・プログラムを終了した。その理由は、低品質かつ有用性のないバグ報告が過剰に寄せられたことにあるという。この決定が反映するのは、金銭的インセンティブの構造が、脆弱性情報の開示と実務にもたらす副作用への、オープンソース・セキュリティ・コミュニティ内の不満の高まりである。

curl のプログラムは、責任ある脆弱性開示を促進する目的で設計されていたが、重複／無効あるいは意図的に誤解を招く報告が、持続不可能な量で生成されるという逆説的な状況を生み出していた。

多くの提出物は技術的な妥当性を欠いており、正当なセキュリティ研究や是正への対応から重要なリソースを逸らす要因となっていた。低品質レポートの急増は、AI を活用した脆弱性スキャン・ツールや自動化された脅威検出システムの普及と時期を同じくしている。

セキュリティ研究者は、機械学習モデルを用いて潜在的な弱点を特定するケースを増やしていたが、その結果として偽陽性率が高まり、推測的な脅威に対する主張が、脆弱性管理パイプラインを混雑させていた。

オープンソース・エコシステムへの影響

curl のメンテナーたちは、正当なセキュリティ上の懸念に対応する姿勢を引き続き強く維持しているが、その一方で、バグ・バウンティの構造自体が逆効果であったことを強調している。

今後において同プロジェクトは、脆弱性レポートに対する金銭的報酬を提供せず、また、外部研究者が他の手段でバウンティを獲得するための支援も行わない。ただし、この決定は、倫理的なセキュリティ研究者から提出される、正当で十分に文書化された脆弱性報告に対する評価を低下させるものではない。

公式アナウンスメントによると、curl のメンテナーたちが結論づけたのは、不誠実なアクターに金銭的報酬を提示することが、セキュリティ問題の捏造／誇張という強い動機付けを与えていたというものだ。その一方で curl チームは、標準的なチャネルを通じて報告される正当なセキュリティ問題については引き続き受け入れ、優先的に対応するとしている。

curl の対応が示すのは、オープンソース・プロジェクトが脆弱性管理に向き合うべき方向性における重要な転換点である。

このプログラムの終了は、AI により生成されたコンテンツがセキュリティ開示エコシステムを汚染しているという業界全体の懸念と、バグバウンティ・プログラムにおける効果的な品質管理の必要性を反映している。

自動化ツールの普及が進む中、他の著名なプロジェクトにおいても、インセンティブ・モデルの見直しを迫られる可能性がある。

今回の curl プロジェクトの決定は、コミュニティのセキュリティ上の利益と、作業負荷とのバランスを取りつつ、持続可能な脆弱性開示の実践を維持する必要性を強調するものである。

curl プロジェクトが、長年続けてきたバグバウンティ・プログラムの終了を決定しました。この問題の原因は、AI や自動化ツールで生成された、技術的に無意味で低品質な脆弱性レポートが大量に送りつけられ、開発者の貴重な時間がトリアージに奪われてしまったことにあります。

本来のバグバウンティは、善意のセキュリティ研究者からの有益な情報を得るためのものでしたが、金銭的インセンティブが裏目に出てしまいました。最近では、AI スキャナーが吐き出した誤検知 (偽陽性) の報告や、被害を誇張する不誠実な報告が急増し、実務に耐えられないレベルに達したとメンテナーたちは説明しています。

自動化ツールの普及により、脆弱性報告のエコシステムがノイズの固まりに変質してしまったことに対する、オープンソース界における重要な転換点と言えます。よろしければ、2026/01/23 の「Node.js HackerOne における脆弱性レポートの品質を改善：Signal スコア 1.0 要件を導入してノイズを抑制」も、ご参照ください。