El responsable de cURL deja de pagar por vulnerabilidades por el spam de IA

El responsable de cURL, una utilidad ampliamente conocida que se incluye en prácticamente todas las distribuciones de Linux, además de en macOS y Windows, ha anunciado el fin del programa Bug Bounty que funcionaba desde 2019. El motivo es sencillo y revelador: el equipo de desarrollo no pudo con el torrente de informes de errores inútiles, generados por inteligencia artificial y enviados por cazarrecompensas.

Un programa Bug Bounty, o programa de recompensas por errores encontrados, es una práctica habitual en el desarrollo de software de código abierto. Permite atraer a investigadores de seguridad externos para buscar vulnerabilidades en el código, y ellos reciben una recompensa económica. Es beneficioso tanto para los desarrolladores, que pueden mejorar la seguridad de su producto, como para los investigadores, que pueden ganar dinero con sus conocimientos.

Sin embargo, en el caso de cURL la situación se descontroló. Con el avance de la inteligencia artificial, se hizo posible automatizar la búsqueda de vulnerabilidades. Participantes sin escrúpulos del programa Bug Bounty empezaron a usar IA para generar enormes cantidades de informes de errores, la mayoría de los cuales resultaron ser falsos o insignificantes. Revisar esos informes consumió una enorme cantidad de tiempo y recursos del equipo de cURL, y volvió inviable el programa Bug Bounty.

El caso plantea preguntas importantes sobre el futuro de los programas Bug Bounty en la era de la inteligencia artificial. Por un lado, la IA puede ser una herramienta útil para automatizar la búsqueda de vulnerabilidades y hacer más eficiente el trabajo de los investigadores de seguridad. Por otro, también puede usarse de forma abusiva, como ocurrió con cURL. Los desarrolladores deben adaptar sus programas Bug Bounty a la nueva realidad para evitar situaciones similares. Quizá sea necesario introducir criterios más estrictos para seleccionar los informes de errores y emplear herramientas de IA propias para filtrar los falsos positivos.

El fin del programa Bug Bounty de cURL puede tener consecuencias negativas para la seguridad de la utilidad. Si hay menos investigadores de seguridad independientes buscando vulnerabilidades, algunos errores graves podrían pasar inadvertidos. A la larga, esto puede aumentar el riesgo de ataques a los sistemas que usan cURL.

El incidente demuestra que el desarrollo de la IA plantea nuevos desafíos para la industria de la seguridad informática. Los desarrolladores deben estar preparados para ellos y adaptar sus métodos de trabajo para aprovechar con eficacia las capacidades de la IA y protegerse de sus posibles amenazas. De lo contrario, podríamos encontrarnos con una situación en la que la IA, en lugar de mejorar la seguridad, contribuya a debilitarla.