近日，Curl project 的创始人丹尼尔·斯腾伯格（Daniel Stenberg）宣布，将于2026年1月底正式终止在 HackerOne 平台上的安全漏洞悬赏计划。这一决定的背后，是项目团队被大量低质量、由 AI 生成的漏洞报告所淹没。
自2019年以来，Curl 的漏洞悬赏计划一直通过 HackerOne 和 Internet Bug Bounty 运行，为负责任地披露 Curl 和 libcurl 中的安全漏洞提供现金奖励。然而，随着生成式 AI 的普及，漏洞报告的数量出现了病态激增。斯腾伯格表示，在一周内，团队就在16小时内收到了 7 个 HackerOne 问题，而截至1月下旬，此类报告已达20份。
这些报告大多是所谓的“AI Slop”（ AI废话）：内容听起来逻辑自洽、极其专业，但经人工复核后发现其描述的漏洞根本不存在或毫无意义。这种看似有用实则冗余的报告，迫使curl安全团队耗费大量精力进行排查。
斯腾伯格在邮件中解释称，关闭悬赏的主要目的是移除利益动机，让那些不经过深度研究就提交垃圾报告的人无利可图。作为规模较小的开源项目，核心维护者人数有限，目前的投稿洪流已经严重威胁到团队的心理健康和项目生存。
一旦相关文件更新生效，curl 将不再为任何漏洞报告提供奖励，也不再协助研究人员向第三方争取报酬，虽然这可能无法完全杜绝垃圾投稿，但斯腾伯格希望能够在一定程度上保护开发者的精力。
自2019年以来，Curl 的漏洞悬赏计划一直通过 HackerOne 和 Internet Bug Bounty 运行，为负责任地披露 Curl 和 libcurl 中的安全漏洞提供现金奖励。然而，随着生成式 AI 的普及，漏洞报告的数量出现了病态激增。斯腾伯格表示，在一周内，团队就在16小时内收到了 7 个 HackerOne 问题，而截至1月下旬，此类报告已达20份。
这些报告大多是所谓的“AI Slop”（ AI废话）：内容听起来逻辑自洽、极其专业，但经人工复核后发现其描述的漏洞根本不存在或毫无意义。这种看似有用实则冗余的报告，迫使curl安全团队耗费大量精力进行排查。
斯腾伯格在邮件中解释称，关闭悬赏的主要目的是移除利益动机，让那些不经过深度研究就提交垃圾报告的人无利可图。作为规模较小的开源项目，核心维护者人数有限，目前的投稿洪流已经严重威胁到团队的心理健康和项目生存。
一旦相关文件更新生效，curl 将不再为任何漏洞报告提供奖励，也不再协助研究人员向第三方争取报酬，虽然这可能无法完全杜绝垃圾投稿，但斯腾伯格希望能够在一定程度上保护开发者的精力。
16小时内收到20份 AI 生成的漏洞报告，难道还能被继续忽视吗？ 
在这种情况下，必须采取措施防止浪费资源和损害开发人员的心理健康。 
一旦关闭了 HackerOne 平台上的安全漏洞悬赏计划，可能会导致一些开发者失去工作机会，但也可能保护了更多的开发者从垃圾报告中受益。
我们应该思考：一份报告是否值得获得现金奖励？ 
是一种负责任的做法吗？ 
在某种程度上，通过关闭此计划，Daniel Stenberg 和他的团队在保护他们自身的健康和安全方面采取了一步正确的措施。 
这个决定真的是为了了把垃圾报告排除在外就做的，我觉得不应该这样！现在的 AI 生成漏洞报告也不能完全忽视，至少要有一些机制来评估报告的质量，避免掉掉真正的问题 
。
。
但是，这又让人想起了我们国家的《知识产权法》，关于公众提供信息需要经过审查的条款。 
why not呢？如果这些“AI Slop”.report 都是不存在的或毫无意义的，那不是一种垃圾报告吗？ 
关于“AI Slop”这个词语，有人说它是当下编程领域的一个重要问题，需要被解决。 
但是，是否仅凭 AI 生成的报告就能关闭悬赏计划？ 
这个决定似乎过于简单了。 
也是因为这样，所有人就都在争相投稿，似乎每个人的作品都能被认可 
。最终，开源项目需要有实用价值，而不是靠赚钱才能活下来 
。
之前听到说生成式AI已经到位，感觉也没那么过于虚假。 
所以他们直接结束这个计划了？ 
现在的开源项目都面临着这种问题吗？ 
team 一周之内处理这么多是有缺陷的 
这样的“AI Slop”根本是浪费开发者的精力，团队的心理健康不行了 
我也觉得，开发者花太多精力在排查这些 nonsense 中，我还不敢试着提交报告