← Все статьи
2026-05-27 06:01 · 🤖 AI World

ИИ завалил curl тысячами отчётов об уязвимостях — и это только начало

Сопровождающий curl Даниэль Стенберг публично признал: поток отчётов об уязвимостях, сгенерированных с помощью ИИ, вырос в 4-5 раз за два года — и его жена уже беспокоится о его здоровье. Это первый публичный сигнал о системном кризисе open source безопасности в эпоху AI-ассистированного аудита.

ИИ завалил curl тысячами отчётов об уязвимостях — и это только начало

Даниэль Стенберг — создатель и главный мейнтейнер curl, одной из самых распространённых утилит в истории программирования — опубликовал пост о давлении, которое его команда испытывает прямо сейчас. Поток отчётов о безопасности вырос в 4-5 раз по сравнению с 2024 годом и вдвое по сравнению с 2025-м. Сейчас команда получает более одного security-репорта в день. Репорты детальные, длинные, технически грамотные. Стенберг работает больше, чем когда-либо в жизни.

Контекст

curl установлен на миллиардах устройств — от смартфонов и серверов до промышленного оборудования. Это один из критических слоёв интернета: если в нём есть уязвимость, она потенциально затрагивает всю цифровую инфраструктуру. Команда проекта при этом крошечная — добровольцы, работающие на энтузиазме и репутации.

До 2024 года security-аудит open source проектов был дорогим: нужны были люди с экспертизой, время на реверс-инжиниринг, ручной анализ кода. ИИ-инструменты — прежде всего модели с большим контекстным окном, способные анализировать тысячи строк C-кода за секунды — изменили это уравнение радикально. Теперь любой исследователь с подпиской на LLM может прогнать целый репозиторий через модель и получить список подозрительных паттернов.

Simon Willison, один из самых авторитетных наблюдателей за AI-индустрией, указал на этот пост как на сигнал нового класса проблем — не технических, а человеческих: open source мейнтейнеры не масштабируются так же быстро, как AI-инструменты.

Аналитика

Здесь важно разделить два явления. Первое — хорошее: качество отчётов выросло, найденные уязвимости в основном LOW или MEDIUM severity. Последний HIGH-severity CVE в curl был опубликован ещё в октябре 2023 года. То есть сам curl — крепкий проект, выдержавший годы аудита. ИИ не нашёл катастрофы, он просто методично перебирает каждый угол.

Второе явление — системное и тревожное. Пропускная способность команды безопасности не масштабируется. Каждый входящий отчёт — даже если он в итоге окажется false positive — требует времени живого человека: разобрать, воспроизвести, классифицировать, ответить репортеру, задокументировать. При потоке больше одного в день это становится второй работой с ненормированным графиком.

Для индустрии это предупреждение: тысячи критических open source проектов держатся на 1-5 мейнтейнерах. Если AI-assisted аудит продолжит расти экспоненциально, а человеческий ресурс останется константой — мы получим либо выгорание ключевых людей, либо игнорирование части репортов, либо оба сценария одновременно. Ни один из них не заканчивается хорошо для экосистемы.

Кейсы применения в бизнесе

B2B-SaaS стартап, использующий open source зависимости. Если вы строите продукт на curl, OpenSSL, libpng или любой другой критической библиотеке — начните отслеживать CVE-фиды этих проектов автоматически. Настройте GitHub Dependabot или аналог. Стоимость патча через неделю после CVE в разы меньше, чем реакция на инцидент через полгода.

Корпорация с большой кодовой базой на C/C++/Rust. AI-assisted security audit теперь доступен не только пентестерам с контрактом. Прогоните внутренние репозитории через LLM с системным промптом на поиск CWE-паттернов. Это не заменит ручной аудит, но даст быстрый первый слой фильтрации за часы, а не недели.

SMB и локальный бизнес в КР/СНГ. Если ваш веб-сервис или мобильное приложение использует стандартные библиотеки — проверьте, какие версии установлены в production. Часто оказывается, что там 2-3-летний снапшот с десятками известных CVE. Обновление зависимостей раз в квартал — это минимальная гигиена.

Кейсы в личной жизни

Разработчик, ведущий pet-проект или open source библиотеку. Если у вас публичный репозиторий — ожидайте роста security-репортов. Настройте GitHub Security Advisories заранее, пропишите политику ответственного раскрытия (SECURITY.md). Это сэкономит нервы, когда первый AI-сгенерированный репорт придёт в два часа ночи.

Контент-мейкер и технический журналист. История curl — отличный материал для объяснения аудитории, почему open source — это не «бесплатно и без рисков». Используйте этот кейс, чтобы поднять тему устойчивости цифровой инфраструктуры.

Студент или начинающий security-исследователь. AI-инструменты снизили порог входа в vulnerability research до минимума. Возьмите небольшой open source проект, прогоните через LLM, попробуйте найти реальную уязвимость и сделать responsible disclosure. Это реальный опыт, который котируется в резюме.

«Это давление, которого я никогда раньше не видел и не испытывал. Лавина приоритетной работы, которая вытесняет всё остальное — и она прежде всего ментальная, потому что мы могли бы игнорировать всё это, если бы захотели. Но у нас есть совесть, и мы гордимся своей работой.» — Даниэль Стенберг

Как применить сегодня

  • Проверьте версии curl, OpenSSL и других C-библиотек в вашем production: curl --version, openssl version.
  • Подключите Dependabot или Renovate к вашему репозиторию — автоматические PR при выходе патчей.
  • Если у вас есть open source проект — создайте файл SECURITY.md с инструкцией по responsible disclosure прямо сегодня.
  • Попробуйте AI-assisted аудит своего кода: загрузите фрагмент кода на C/Python в LLM с промптом «найди потенциальные уязвимости по классификации CWE».
  • Поддержите мейнтейнеров критических open source проектов финансово — GitHub Sponsors, Open Collective. curl держится на людях, которые работают больше, чем должны.
← Все статьи