哈嘍！伙伴們，我是小智，你們的AI向?qū)?。歡迎來到每日的AI學(xué)習(xí)時(shí)間。今天，我們將一起深入AI的奇妙世界，探索“AI生成的廢話比404還多！”cURL創(chuàng)始人開團(tuán)科技圈魔幻現(xiàn)實(shí)?”，并學(xué)會(huì)本篇文章中所講的全部知識(shí)點(diǎn)。還是那句話“不必遠(yuǎn)征未知，只需喚醒你的潛能！”跟著小智的步伐，我們終將學(xué)有所成，學(xué)以致用，并發(fā)現(xiàn)自身的更多可能性。話不多說，現(xiàn)在就讓我們開始這場(chǎng)激發(fā)潛能的AI學(xué)習(xí)之旅吧。

AI生成的廢話比404還多！”cURL創(chuàng)始人開團(tuán)科技圈魔幻現(xiàn)實(shí)?：

近日，curl 項(xiàng)目（一款用于通過 URL 傳輸數(shù)據(jù)的命令行工具和庫）創(chuàng)始人 Daniel Stenberg 在領(lǐng)英發(fā)帖稱，已經(jīng)受夠了由 AI 生成的大量“垃圾”漏洞報(bào)告，因此近期引入額外復(fù)選框，用以過濾此類平白浪費(fèi)維護(hù)人員時(shí)間的低效提交內(nèi)容。

curl 創(chuàng)始人被 AI 垃圾“逼瘋了”
Stenberg 表示，項(xiàng)目維護(hù)人員需要花費(fèi)大量時(shí)間對(duì)每一份通過 HackerOne 提交的 AI 輔助漏洞報(bào)告進(jìn)行分類，但往往發(fā)現(xiàn)這些報(bào)告的內(nèi)容一無可取，在效果上約等于針對(duì)項(xiàng)目發(fā)起的 DDoS 攻擊。

Stenberg 在 LinkedIn 上引用了近期一份“令他忍無可忍”的報(bào)告，并表示“到此為止吧，我受夠了。我要堅(jiān)決制止這種瘋狂行為?！?/p>

在 HackerOne 上提交 curl 相關(guān)安全報(bào)告有了一些新規(guī)定，例如所有通過 HackerOne 提交 Curl 安全報(bào)告的研究人員，現(xiàn)在必須回答以下問題：

“您是否使用 AI 來發(fā)現(xiàn)該漏洞或生成此報(bào)告？”

如果選擇“是”，bug 報(bào)告者將會(huì)面臨一連串后續(xù)問題，包括要求他們提供相關(guān)證據(jù)以證明該 bug 真實(shí)存在，而后 curl 團(tuán)隊(duì)才會(huì)花時(shí)間加以驗(yàn)證。

Stenberg 補(bǔ)充道，“現(xiàn)在，我們會(huì)立即封禁所有被認(rèn)定為提交 AI 垃圾內(nèi)容的報(bào)告者。這種情況對(duì)我們的騷擾已經(jīng)達(dá)到臨界點(diǎn)，在事實(shí)上造成了類似 DDoS 攻擊的效果。如果可以，我真想向他們收取費(fèi)用，以彌補(bǔ)這種平白浪費(fèi)我們時(shí)間的行為?！?/p>

最主要的是，Stenberg 接著表示，該項(xiàng)目從未收到過任何使用 AI 生成的有效 bug 報(bào)告，而且垃圾報(bào)告的比例一直在持續(xù)上升。

Stenberg 回復(fù)一位關(guān)注者稱，“幾年前并不存在這樣的報(bào)告，但如今其比例似乎在不斷上升。盡管還沒有徹底吞沒我們，但趨勢(shì)已經(jīng)相當(dāng)嚴(yán)峻?！?/p>

開源維護(hù)者正被 AI 生成的 bug 報(bào)告淹沒

這種擔(dān)憂由來已久。Python 開發(fā)團(tuán)隊(duì)的 Seth Larson 早在去年 12 月就對(duì)此類 AI 漏洞報(bào)告表達(dá)過擔(dān)憂。他表示回應(yīng)這些報(bào)告既費(fèi)錢又費(fèi)時(shí)，畢竟從表面上看其內(nèi)容似乎煞有介事，必須經(jīng)過專業(yè)審查才能確認(rèn)其真實(shí)性。

Larson 寫道，“這些純屬浪費(fèi)時(shí)間的安全報(bào)告帶給維護(hù)人員的不只是困惑、壓力和沮喪，更糟糕的是，由于此類報(bào)告的保密性質(zhì)，他們還會(huì)產(chǎn)生一種強(qiáng)烈的孤獨(dú)感。這種種負(fù)面感受疊加起來，最終加劇了開源項(xiàng)目中這群備受依賴的貢獻(xiàn)者們的倦怠情緒。”

“從各個(gè)方面來看，這些低質(zhì)量的報(bào)告都應(yīng)該被視為惡意內(nèi)容。即使并非出自本意，結(jié)果仍然會(huì)導(dǎo)致維護(hù)人員身心俱疲，甚至抗拒從事正常的安全工作。

Larson 認(rèn)為，低質(zhì)量的報(bào)告應(yīng)該被視為惡意報(bào)告。

垃圾、低質(zhì)量的網(wǎng)絡(luò)內(nèi)容早在聊天機(jī)器人出現(xiàn)之前就已存在，但 AIGC 模型讓這類內(nèi)容的產(chǎn)生變得更加容易，其結(jié)果是新聞業(yè)、網(wǎng)絡(luò)搜索，還有社交媒體都糟到了不同程度的污染。

對(duì)于開源項(xiàng)目而言，AI 輔助生成的漏洞報(bào)告危害尤甚，因?yàn)檫@些報(bào)告仍需占用安全工程師（其中很多是志愿者）本已十分有限的審閱和評(píng)估時(shí)間。

Larson 針對(duì) AI 生成漏洞報(bào)告的問題發(fā)出了深刻警示，他指出，Python 和 pip 生態(tài)系統(tǒng)中出現(xiàn)的問題具有典型性和擴(kuò)散性特征，很可能在其他開源項(xiàng)目中以更嚴(yán)重的程度重現(xiàn)。

這一警告背后反映的是對(duì)開源維護(hù)者群體的深切擔(dān)憂——那些獨(dú)立支撐項(xiàng)目安全的維護(hù)者們正面臨前所未有的挑戰(zhàn)。當(dāng)這些維護(hù)者缺乏對(duì) AI 生成報(bào)告泛濫現(xiàn)狀的認(rèn)知時(shí)，他們寶貴的審閱時(shí)間就會(huì)被大量虛假報(bào)告所吞噬。

這種狀況造成的惡性循環(huán)尤為嚴(yán)重：志愿者被迫將有限精力耗費(fèi)在毫無價(jià)值的報(bào)告審核上，這種持續(xù)的精神消耗和成就感缺失，最終將導(dǎo)致維護(hù)者群體出現(xiàn)職業(yè)倦怠甚至大規(guī)模流失。

面對(duì)這一嚴(yán)峻形勢(shì)，Larson 強(qiáng)調(diào)，開源社區(qū)必須采取前瞻性行動(dòng)來遏制潛在危害的擴(kuò)大。

Larson 特別指出，單純依賴技術(shù)升級(jí)無法從根本上解決問題，開源安全領(lǐng)域需要進(jìn)行系統(tǒng)性變革。當(dāng)前由少數(shù)維護(hù)者承擔(dān)主要安全責(zé)任的模式已難以為繼，必須建立更加規(guī)范化、透明化的貢獻(xiàn)監(jiān)管體系。

當(dāng)然，這一改革需要回答一個(gè)核心命題：如何構(gòu)建更健康、可持續(xù)的開源參與機(jī)制？

Larson 提出了兩個(gè)關(guān)鍵路徑：其一是通過資金支持（如 Alpha-Omega 等專項(xiàng)資助計(jì)劃）來提升項(xiàng)目可持續(xù)性；其二是鼓勵(lì)更多專業(yè)人士貢獻(xiàn)工作時(shí)間，形成多元化的參與格局。

那具體到底要怎么做？Larson 向開源社區(qū)各方發(fā)出了呼吁，也就是 bug 提交者和漏洞管理平臺(tái)應(yīng)該各盡其責(zé)。

對(duì)于漏洞提交者，Larson 強(qiáng)調(diào)必須恪守專業(yè)倫理，杜絕直接提交未經(jīng)人工核實(shí)的 AI 生成報(bào)告，因?yàn)楝F(xiàn)有 AI 技術(shù)尚不具備真正的代碼理解能力。

對(duì)于漏洞管理平臺(tái)，則要求其承擔(dān)起守門人責(zé)任，通過技術(shù)手段和管理制度雙重約束，盡可能去遏制自動(dòng)化工具濫用和惡意報(bào)告泛濫的現(xiàn)象。

有人利用漏洞賞金鉆空子，AI 成了“幫兇”

盡管之前幾年 Stenberg 曾公開表示添加 AI 過濾器不是個(gè)好主意，在如今洶涌而來的 HackerOne 報(bào)告面前似乎也已別無他法。

早在 2024 年 1 月，Stenberg 就曾提出過這個(gè)問題，稱用谷歌 Bard（即如今的 Gemini）生成的報(bào)告雖然質(zhì)量稍好、但也同樣是“垃圾”。

近一年之后，Larson 也提出了相同的觀點(diǎn)——AI 報(bào)告的內(nèi)容乍看之下似乎合理，但經(jīng)過認(rèn)真研究之后卻會(huì)發(fā)現(xiàn)往往只是幻覺的產(chǎn)物。

這個(gè)問題對(duì)于 curl 和 Python 這類開源軟件項(xiàng)目尤其有害，因?yàn)樗鼈兒艽蟪潭壬弦蕾囉谏贁?shù)無償志愿專家的投入來幫助改進(jìn)。

開發(fā)人員在開源項(xiàng)目中來了又走，短暫的停留只為修復(fù)自己報(bào)告的 bug 或者其他功能。

截至本文撰稿時(shí)，curl 網(wǎng)站顯示自 Stenberg 于 1998 年創(chuàng)立該項(xiàng)目以來，至少有 3379 人為該項(xiàng)目做出過個(gè)人貢獻(xiàn)。

Curl 為發(fā)現(xiàn)并報(bào)告項(xiàng)目中關(guān)鍵漏洞的上報(bào)者提供最高 9200 美元的賞金，自 2019 年以來已經(jīng)支付過 8.6 萬美元獎(jiǎng)勵(lì)金。

根據(jù)項(xiàng)目 HackerOne 頁面公布的信息，在過去 90 天內(nèi)其共收到 24 份報(bào)告，但均未獲得獎(jiǎng)勵(lì)金。正如 Stenberg 在其 LinkedIn 帖子中所言，在過去六年間，所有由 AI 輔助提交的報(bào)告都沒能發(fā)現(xiàn)真正的漏洞。

生成式 AI 工具讓那些了解漏洞賞金計(jì)劃的低技能人士有了機(jī)會(huì)，他們會(huì)利用 AI 生成內(nèi)容快速提交報(bào)告，指望著從中快速獲利。

然而，Stenberg 表示利用 AI 碰運(yùn)氣申請(qǐng)賞金獎(jiǎng)勵(lì)的可不只是新手和騙子——不少擁有一定聲譽(yù)的參與者也加入了這一行列。

兩天前收到的報(bào)告讓這位項(xiàng)目創(chuàng)始人的怒火徹底爆發(fā)——這是一份極其典型、毫無營(yíng)養(yǎng)的 AI 生成材料。

這份報(bào)告宣稱“發(fā)現(xiàn)了一個(gè)利用 HTTP/3 協(xié)議棧中流依賴項(xiàng)循環(huán)的新型漏洞，此漏洞會(huì)導(dǎo)致內(nèi)存損壞，并可能引發(fā)拒絕服務(wù)或者遠(yuǎn)程代碼執(zhí)行攻擊?！?/p>

但最終證明，其內(nèi)容指向的是一些根本不存在的函數(shù)。

Stenberg 怒斥道，“讓人困惑的是，它聽起來似乎像模像樣，而且報(bào)告者確實(shí)擁有良好的「聲譽(yù)」（意味著此人之前曾經(jīng)做過報(bào)告，而且不少上報(bào)內(nèi)容都經(jīng)過了審查并被認(rèn)定為有效）。當(dāng)然，那天我們正好忙于準(zhǔn)備 curl 年度大會(huì)，各種事情趕在一起最終激化了矛盾?！?/p>

網(wǎng)友怎么看？

當(dāng)越來越多的漏洞報(bào)告開始由 AI 自動(dòng)生成并涌入開源社區(qū)，開發(fā)者們徹底慌了。因?yàn)樵S多 AI 生成的報(bào)告看起來十分專業(yè)，導(dǎo)致開發(fā)者陷入無休止的驗(yàn)證和澄清工作——就像在沙子里淘金，效率極低且令人疲憊。這種趨勢(shì)正在消耗開源社區(qū)最寶貴的資源：開發(fā)者的時(shí)間和耐心。

Stenberg 和 Larson 兩位大佬的遭遇在社區(qū)中引發(fā)了大量共鳴。

在 Hacker News 上，有用戶表示，這種 AI 生成的漏洞報(bào)告很像社交媒體時(shí)代的典型困境，但放在技術(shù)層面，造成的后果要嚴(yán)重得多：

“我們正被海量的虛假信息所淹沒。每一條荒謬言論都需要耗費(fèi)大量時(shí)間和精力去澄清和反駁，但就在我們忙于證偽某一條謠言的同時(shí)，又有十條新的謠言在網(wǎng)絡(luò)上瘋狂傳播。更糟糕的是，那些傳播謠言的人往往毫不在意事實(shí)真相——即便某條謠言被證明是徹頭徹尾的謊言，他們也會(huì)立即轉(zhuǎn)向下一條"看起來真實(shí)"的謠言，如此循環(huán)往復(fù)，永無止境。

這種惡性循環(huán)不僅消耗著社會(huì)各界的注意力資源，更在無形中侵蝕著公共討論的誠(chéng)信基礎(chǔ)。但區(qū)別在于，你可以忽略社交媒體，幾乎不會(huì)帶來什么負(fù)面影響。但忽略錯(cuò)誤報(bào)告的風(fēng)險(xiǎn)可能要大得多?！?/p>

還有用戶指出，AI 生成的 bug 報(bào)告耗光了開發(fā)者的心力或許還不是最糟糕的，更糟糕的是高層管理者他們相信了 AI。

“當(dāng)前最嚴(yán)重的問題在于，企業(yè)高層被‘AI 替代論’所蠱惑，天真地認(rèn)為可以裁撤資深程序員，轉(zhuǎn)而依賴應(yīng)屆畢業(yè)生在 AI 輔助下完成同等工作。這種危險(xiǎn)的認(rèn)知正在技術(shù)行業(yè)蔓延。

雖然目前造成的混亂尚屬可控，清理起來相對(duì)容易，但隨著越來越多高管被 AI 鼓吹者的美好承諾所迷惑，事態(tài)正在加速惡化。這絕非危言聳聽——我們正目睹一場(chǎng)真實(shí)發(fā)生的系統(tǒng)性混亂。

在開源社區(qū)，我們采取更務(wù)實(shí)的應(yīng)對(duì)方式：當(dāng)收到明顯由 AI 生成的漏洞報(bào)告時(shí)（這類報(bào)告往往特征顯著），我會(huì)先給予提交者一次改正機(jī)會(huì)，耐心解釋為何這種做法有害。但如果他們?cè)俅翁峤活愃苾?nèi)容，我會(huì)毫不猶豫地將這些‘技術(shù)噪音’徹底過濾——這不僅是效率問題，更是對(duì)社區(qū)質(zhì)量的必要捍衛(wèi)?！?/p>

還有用戶在懷疑，這是否是惡意競(jìng)爭(zhēng)的“陰謀論”，這位用戶質(zhì)疑道：”這些 AI 垃圾層出不窮，到底是哪里來的，難道它們背后有“資助者”？

“這個(gè)問題的核心在于：這些項(xiàng)目的資金究竟從何而來？如果存在某個(gè)所謂的‘草根組織’在背后資助，而其真實(shí)目的是通過資助手段來扼殺盡可能多的開源項(xiàng)目——特別是那些與其自身運(yùn)營(yíng)項(xiàng)目存在競(jìng)爭(zhēng)關(guān)系的開源項(xiàng)目——我絲毫不會(huì)感到意外……”

上述用戶的質(zhì)疑得到了另一位用戶的解答。

“沒人資助他們。這些利用 AI 提交 bug 報(bào)告的人可能都是些新手，要么想‘幫忙’，要么想出人頭地。他們不明白，在開源軟件領(lǐng)域有幾十年經(jīng)驗(yàn)的人，在打開郵件之前就能嗅出些‘貓膩’。他們也不明白，要學(xué)會(huì)走，就得先學(xué)會(huì)爬?！?/p>

嘿，伙伴們，今天我們的AI探索之旅已經(jīng)圓滿結(jié)束。關(guān)于“AI生成的廢話比404還多！”cURL創(chuàng)始人開團(tuán)科技圈魔幻現(xiàn)實(shí)?”的內(nèi)容已經(jīng)分享給大家了。感謝你們的陪伴，希望這次旅程讓你對(duì)AI能夠更了解、更喜歡。謹(jǐn)記，精準(zhǔn)提問是解鎖AI潛能的鑰匙哦！如果有小伙伴想要了解學(xué)習(xí)更多的AI知識(shí)，請(qǐng)關(guān)注我們的官網(wǎng)“AI智研社”，保證讓你收獲滿滿呦！