Desenvolvedor do cURL encerra pagamentos por vulnerabilidades por causa de spam de IA

O desenvolvedor do cURL, utilitário amplamente conhecido e presente em praticamente todas as distribuições Linux, além de macOS e Windows, anunciou o fim do programa Bug Bounty, em vigor desde 2019. O motivo é simples e revelador: a equipe de desenvolvimento simplesmente não deu conta do fluxo de relatórios de erros inúteis, gerados por inteligência artificial e enviados por caçadores de recompensas.

Um programa Bug Bounty, ou programa de recompensa por erros encontrados, é uma prática comum no desenvolvimento de software de código aberto. Ele permite atrair pesquisadores de segurança externos para buscar vulnerabilidades no código, e eles recebem uma recompensa em dinheiro. É vantajoso tanto para os desenvolvedores, que podem melhorar a segurança do produto, quanto para os pesquisadores, que podem ganhar dinheiro com seu conhecimento.

No caso do cURL, porém, a situação saiu do controle. Com o avanço da inteligência artificial, tornou-se possível automatizar a busca por vulnerabilidades. Participantes mal-intencionados do programa Bug Bounty passaram a usar IA para gerar enormes quantidades de relatórios de erros, a maioria deles falsos ou irrelevantes. Analisar esses relatórios consumiu uma enorme quantidade de tempo e recursos da equipe do cURL e tornou o programa Bug Bounty inviável.

O caso levanta questões importantes sobre o futuro dos programas Bug Bounty na era da inteligência artificial. Por um lado, a IA pode ser uma ferramenta útil para automatizar a busca por vulnerabilidades e aumentar a eficiência dos pesquisadores de segurança. Por outro, também pode ser usada de forma abusiva, como aconteceu com o cURL. Os desenvolvedores precisam adaptar seus programas Bug Bounty à nova realidade para evitar situações semelhantes. Pode ser necessário adotar critérios mais rígidos para selecionar relatórios de erros e usar ferramentas próprias de IA para filtrar falsos positivos.

O fim do programa Bug Bounty do cURL pode ter consequências negativas para a segurança do utilitário. Com menos pesquisadores de segurança independentes buscando vulnerabilidades, alguns erros graves podem passar despercebidos. Em última instância, isso pode aumentar o risco de ataques a sistemas que usam o cURL.

O incidente mostra que o avanço da IA cria novos desafios para a indústria de segurança da informação. Os desenvolvedores precisam estar preparados para esses desafios e adaptar seus métodos de trabalho para usar com eficácia as capacidades da IA e se proteger de suas possíveis ameaças. Caso contrário, podemos chegar a uma situação em que a IA, em vez de aumentar a segurança, contribua para reduzi-la.