Open Source Projekt cURL kämpft gegen Welle von KI-generierten falschen Sicherheitsmeldungen

Der Gründer des cURL-Projekts, Daniel Stenberg, hat einen kritischen Punkt erreicht. Die Flut von KI-generierten falschen Sicherheitsberichten, die über Plattformen wie HackerOne eingereicht werden, hat seine Geduld auf die Probe gestellt. Während HackerOne behauptet, dass KI die Qualität der Meldungen bei verantwortungsvollem Einsatz verbessern kann, fordert Stenberg stärkere Infrastrukturen und Werkzeuge, um dem entgegenzuwirken, was er als eine Art DDoS-Angriff auf die Zeit und Aufmerksamkeit der Wartenden beschreibt.

Die Herausforderung der KI-generierten Berichte

In einem LinkedIn-Beitrag erklärte Stenberg: “Ein Schwellenwert wurde erreicht. Wir werden effektiv DDoSed. Wenn wir könnten, würden wir ihnen für diese Zeitverschwendung Gebühren berechnen.” cURL, das 2023 sein 25-jähriges Bestehen feierte, ist ein unverzichtbares Kommandozeilenwerkzeug und eine Bibliothek zur Interaktion mit Internetressourcen. Das Open-Source-Projekt erhält Bugberichte und Sicherheitsprobleme über viele Kanäle, einschließlich HackerOne, einem Dienst, der Unternehmen bei der Verwaltung von Sicherheitsmeldungen und Bug-Bounties hilft.

Die Problematik der „AI Slop“ Berichte

Stenberg hat die Nase voll und drängt darauf, dass jeder verdächtige AI-generierte Bericht auf HackerOne vom Einreicher verifiziert werden muss, ob er KI verwendet hat, um das Problem zu finden oder die Einreichung zu generieren. Wenn ein Bericht als “AI Slop” eingestuft wird, wird der Einreicher gesperrt. “Wir haben noch keinen einzigen gültigen Sicherheitsbericht gesehen, der mit Hilfe von KI erstellt wurde”, so Stenberg.

Ein Beispiel für einen problematischen Bericht

Ein Bericht vom 4. Mai, der Stenberg “über die Grenze gebracht” hat, schlug eine “neuartige Ausnutzung von Stream-Abhängigkeiten im HTTP/3-Protokollstapel” vor. Die Meldung deutete an, dass cURL, das HTTP/3-fähig ist, anfällig für Ausnutzungen bis hin zu Remote-Code-Ausführungen sein könnte. Doch die eingereichte Patch-Datei für die “bösartige Serverkonfiguration” ließ sich nicht auf die neuesten Versionen des betreffenden Python-Tools anwenden.

Reaktionen von HackerOne

Alex Rice, Mitgründer und CTO von HackerOne, erklärte, dass Berichte, die “halluzinierte Schwachstellen, vage oder falsche technische Inhalte oder andere Formen von geringfügigem Lärm” enthalten, als Spam behandelt werden. “Wir glauben, dass KI, wenn sie verantwortungsvoll eingesetzt wird, ein leistungsstarkes Werkzeug für Forscher sein kann”, sagte Rice. “Das Ziel ist, Innovationen zu fördern, die zu besseren Sicherheitsresultaten führen, während alle Einreichungen denselben hohen Standards unterliegen.”

Der Weg nach vorne

In einem Interview mit Ars Technica sagte Stenberg, dass er froh sei, dass sein Beitrag – der 200 Kommentare und fast 400 Reposts generierte – Aufmerksamkeit erregt. “Ich bin sehr glücklich, dass das Thema Aufmerksamkeit erhält, damit wir möglicherweise etwas dagegen tun können und das Publikum darüber aufklären können, wie der Stand der Dinge ist”, erklärte er.

Stenberg hat zuvor auf seiner eigenen Website über KI-generierte Sicherheitsberichte gebloggt und dabei detaillierte Informationen darüber bereitgestellt, wie diese Berichte aussehen und was sie falsch machen. Seth Larson, Sicherheitsentwickler bei der Python Software Foundation, hat Stenbergs Erkenntnisse mit eigenen Beispielen ergänzt und mögliche Maßnahmen vorgeschlagen.

Fazit

Die Herausforderung, die durch KI-generierte Sicherheitsberichte entsteht, ist ein wachsendes Problem für Open-Source-Projekte. Es ist entscheidend, dass die Community zusammenarbeitet, um die Qualität der Sicherheitsmeldungen zu verbessern und die Integrität der Berichterstattung zu wahren. Die Forderungen von Stenberg nach stärkeren Maßnahmen und besseren Werkzeugen sind ein Schritt in die richtige Richtung, um die Auswirkungen dieser “AI Slop”-Berichte zu minimieren.

Quellenliste:

• Quelle: OPEN SOURCE PROJECT CURL BATTLES WAVE OF AI-GENERATED FALSE VULNERABILITIES
• HackerOne
• cURL Dokumentation