curl закрив платну програму винагород через падіння якості звітів
curl закрив платну bug bounty-програму після падіння частки підтверджених вразливостей у поданих звітах.
Розробник інструмента та бібліотеки передавання даних curl 31 січня 2026 року закрив платну програму винагород за знайдені вразливості. Підтверджені вразливості в межах програми становили понад 15% заявок у попередні роки, але з 2025 року їхня частка опустилася нижче 5%.
Як повідомляє BleepingComputer, за весь час роботи програма curl допомогла виявити 87 підтверджених вразливостей, а дослідникам виплатили понад 100 тисяч доларів. Супровідник проєкту Деніел Стенберг пояснив закриття погіршенням якості поданих звітів.
Вплив AI-звітів на програми винагород
Програми bug bounty винагороджують дослідників за вразливості, що відповідають установленим правилам. Водночас розробники мають перевірити кожне повідомлення, відтворити проблему та оцінити її вплив. Непідтверджені повідомлення, зокрема згенеровані за допомогою штучного інтелекту, потребують часу команд безпеки, навіть якщо описана вразливість насправді не існує.
У квітні Стенберг повідомив про поліпшення якості заявок: частка підтверджених вразливостей повернулася приблизно до 15–16%. Він також зазначив активне використання AI у цих звітах. Водночас більша кількість повідомлень і надалі створює додаткове навантаження для супровідників проєкту.
Google також призупинила приймання заявок щодо ланцюгів постачання, проте це обмеження не стосується невирішених повідомлень та інших напрямів її програм винагород. У 2025 році ширші програми виплат Google перерахували дослідникам 17,1 млн доларів.
Акцент на відтворюваних доказах
У матеріалі, підготовленому за підтримки TryHackMe, початківцям радять спершу опанувати основи мереж, командного рядка, Linux, Windows і вебзастосунків у дозволених навчальних середовищах. Автори наголошують, що AI може допомагати пояснювати помилки або давати підказки, однак дослідник має самостійно перевіряти результат.
Звіт про вразливість має містити актив або версію програмного забезпечення, точні кроки відтворення, потрібні права доступу, очікувану й фактичну поведінку системи та докази впливу проблеми. Неперевірені припущення про ширші наслідки слід чітко відокремлювати від підтверджених фактів.
