Episode Details

世界中のサーバーやIoT機器で動いているデータ転送ツール「cURL」。そのセキュリティを守る重要なエコシステムが、皮肉にもAIの進化によって幕を閉じることになりました。

cURLプロジェクトの創始者であるダニエル・ステンバーグ氏は昨日、現在運用しているバグ報奨金プログラムを2026年1月末をもって終了すると発表しました。2019年からHackerOneなどのプラットフォームを通じて運営され、これまでに10万ドル以上の報奨金を支払ってきた歴史あるプログラムですが、なぜ今、終了を決断したのでしょうか。

最大の理由は「AIが生成する低品質な報告の氾濫」です。 ステンバーグ氏によると、ここ数年、生成AIを使って自動作成されたと思われるバグ報告が急増していました。これらは一見すると完璧な英語で書かれ、フォーマットも整っていますが、その多くはAIの幻覚（ハルシネーション）に基づいたデタラメな内容です。実際、直近の1週間で寄せられた報告のうち、セキュリティ上の脆弱性を正しく指摘したものはゼロでした。

問題なのは、これらの「偽の報告」を見抜くために、熟練した開発者が膨大な時間を奪われてしまう点です。コードの文脈を無視した指摘であっても、専門家が詳細に調査し、トリアージを行わなければなりません。ステンバーグ氏はこれを「事実上のDDoS攻撃を受けているようなもの」と表現し、メンテナーの負担が限界に達したことを吐露しています。

報奨金という「金銭的インセンティブ」がある限り、悪意あるユーザーや知識のないユーザーが、AIを使って“数打ちゃ当たる”戦法でスパムを送り続ける動機はなくなりません。そのため、プロジェクト側はインセンティブそのものを断つという苦渋の決断に至りました。

この動きはcURLに限った話ではありません。OSS（オープンソースソフトウェア）界隈では、AIツールが生み出すノイズによってメンテナーが疲弊する現象が深刻化しています。AIは本来、開発効率を上げるためのツールであるはずが、使い方を誤れば、善意で成り立つコミュニティを機能不全に追い込んでしまう──今回のニュースは、そんな現代の技術的ジレンマを浮き彫りにしました。