curl，这个几乎无处不在的网络传输工具，刚刚亲手关上了自己设立的“安全众测”大门。项目方宣布，将于一月底终止在HackerOne平台上的漏洞赏金计划，直接原因是一场由AI生成的、低质量漏洞报告掀起的海啸。
这不仅仅是curl一个项目的运营调整。它标志着一个时代的尴尬转折：旨在利用全球智慧提升安全性的开源协作模式，正被AI工具滥用的洪流轻易冲垮。当“AI slop”（AI垃圾）的提交量超过人类维护者的审查极限时，整个激励体系的价值便瞬间归零，从资产变成了纯粹的负债。
赏金模式的“成本效益”计算彻底失衡 curl的赏金计划本质是一笔精打细算的买卖：用50到1500美元不等的有限预算，采购全球安全研究员发现的真实漏洞。它的战略意图清晰——以可控成本，杠杆化外部智力，弥补核心团队人力的不足。这套逻辑运行的前提是，提交报告的研究员具备基本专业素养，报告质量总体可信。
AI代码生成与分析工具的普及，彻底颠覆了这个前提。现在，任何人都可以低成本、大批量地生成看似专业、实则空洞或错误的“漏洞报告”。对于curl这样的项目，处理每份报告都需要维护者投入宝贵的、不可复制的时间进行人工甄别。当AI垃圾报告的数量突破临界点，筛选成本便急剧飙升，最终超过了发现真实漏洞所能带来的安全收益。计划从“成本效益最大化”的工具，沦为了“时间黑洞”，终止是唯一理性的止损选择。
开源安全生态面临两极分化风险 curl的撤退，向所有预算有限的开源项目发出了一个刺耳的警报。如果连curl这样拥有巨大影响力和一定赞助基础的项目都无法承受AI滥用的冲击，那么更多中小型关键基础设施项目该如何保障安全？
一个很可能的结果是，漏洞市场加速两极分化。财大气粗的科技巨头（如Google、Apple）可以凭借更高的赏金和更强大的运营团队，继续吸引高质量的研究。而众多开源项目则可能被迫退回原点：依赖志愿者零散、不可控的报告，或寻求与企业赞助的定向安全审计合作。这无疑会降低整个开源生态安全投入的整体效率，让一些至关重要的“数字地基”暴露在更大的风险之下。
对于安全研究员而言，选择逻辑也将改变。仅仅有赏金计划已经不够，项目方的评审效率与信誉将成为更关键的考量。没人愿意自己的真知灼见被淹没在AI垃圾的海洋里，白白浪费精力。
AI时代，开放式协作需要新规则 curl事件的深层拷问是：在AI能力平民化的今天，建立在“善意与专业度假设”之上的开放式互联网协作模式，是否普遍需要升级？
未来的开源安全协作，可能不得不引入更强的技术或流程过滤。例如，提交前的自动化预筛查、更严格的验证码或贡献者信誉门槛，甚至转向半封闭的邀请制众测。HackerOne这类平台也亟需推出有效的AI生成内容识别工具，来维持其商业模式的基础。这本质上是一场“防御AI滥用”与“保持社区开放”之间的艰难平衡。
curl关停赏金计划，不是一个主动的战略进攻，而是一次无奈的战略收缩。它用自身的困境，为整个开源世界拉响了警报：AI在赋能的同时，也在以我们未曾预料的方式，侵蚀着旧有协作体系的根基。不设计出抗滥用的新规则，类似的崩溃只会接二连三地发生。
本文由 AI 辅助生成，仅供参考。