セキュリティ
10月26日以降、非公開で扱うのは重大度が「高」と「クリティカル」の案件のみ。プロジェクトは作業負担を分け合うための協力を求めている
「脆弱性報告の雪崩」に直面したcurlは、深刻度の低い案件を公開の場で扱う方針に切り替えます。非公開で対応するのは、深刻度が高い脆弱性とクリティカルな脆弱性に限ります。
オープンソースのデータ転送ツールであるcurlのメンテナー、Daniel Stenberg氏はブログで、10月26日以降、深刻度が低または中の報告は、プロジェクトの公開GitHubリポジトリに提出するよう求めると述べました。
「判断に迷うセキュリティ研究者は、これまでどおりHackerOneに報告を提出できます。当方で深刻度を判定してお伝えします。ここ数年、提出された報告の9割以上が、深刻度『高』未満であることをすぐに判断できました」
Stenberg氏はすでに今年、AIが生成した報告がセキュリティチームの負担を膨らませたことを受け、curlのバグバウンティ制度を打ち切っています。
同氏は以前、AIの支援を受けた報告がすべて悪いわけではないと認めていました。しかし現在の作業量は、別の対応を迫るほどになっています。
「今回の方針変更は、止まることなく押し寄せる脆弱性報告の雪崩が引き金です。報告が途切れる気配はなく、今後数カ月で減ることも見込めません。
プロジェクトの主要メンテナーは全員、負担が重く、限界ぎりぎりまで追い込まれています。生き残るには行動が必要です。今回の措置は、生き残り戦略の次の一歩にすぎず、最後にならない可能性もあります。私たちは溺れないようにしたいのです」
Stenberg氏によると、公開で扱えば、より多くの人が報告の評価、修正の開発、アドバイザリの執筆を担えます。リリース前に関連する問題がないか確認する作業も分担できます。
同氏は、脆弱性報告を公開で扱っても、1件あたりの作業量は減らないと認めています。ただ、負荷を分散でき、そこから得られた教訓や文書も見つけやすくなる可能性があるといいます。少なくとも理屈の上ではそうです。
公開で扱えば、修正が出る前に攻撃者が欠陥を悪用できる時間が延びる面もあります。メンテナーはこれを残念としつつも、避けられないと考えています。
「深刻度が『高』未満に限定するのはそのためです。少なくとも、これらの問題はそれほど深刻ではありません」
Stenberg氏は、AIを使う研究者が、実際のアプリケーションではまず起こらない珍しいオプションの組み合わせを大量に作り出し、ささいな食い違いを脆弱性として報告していると指摘しました。
「この悪循環が続けば、正気を保てません。終わりのない脆弱性報告をこのペースでさばく余力も人手も、そして意欲さえもありません。これほどの大量の報告が長期間続けば、耐えられるソフトウェアプロジェクトはほとんどないと思います。何かが変わらなければなりません」（®）
