rss_feedSimon Willison ·27.05.2026 open_in_newОригинал

The pressure

#Cybersecurity #Open Source #Vulnerability Disclosure

auto_awesomeКраткое саммари

Daniel Stenberg, создатель curl, описывает беспрецедентное давление на проект из-за лавины правдоподобных отчётов об уязвимостях, сгенерированных с помощью ИИ. Частота поступления отчётов выросла в 4–5 раз по сравнению с 2024 годом — теперь команда получает более одного отчёта в день. Качество отчётов значительно выросло: они стали подробными и объёмными, что требует серьёзных усилий на обработку. Stenberg впервые столкнулся с тем, что жена высказала беспокойство из-за его рабочего графика и нарушенного баланса между работой и жизнью. Положительный момент — почти все обнаруженные за последние годы уязвимости в curl имеют низкий или средний уровень серьёзности, а последняя CVE с высоким уровнем была опубликована в октябре 2023 года.

translate EN + RU EN RU

Simon Willison’s Weblog

Блог Simon Willison

26th May 2026 - Link Blog

26 мая 2026 — Линкблог

The pressure (via) Daniel Stenberg on the unprecedented level of pressure the curl team are facing right now thanks to the deluge of (credible) AI-assisted security issues being reported.

Давление (via) Daniel Stenberg — о беспрецедентном уровне давления, с которым команда curl сталкивается прямо сейчас из-за потока (правдоподобных) отчётов об уязвимостях, составленных с помощью ИИ.

The rate of incoming security reports is 4-5 times higher than it was in 2024 and double the speed of 2025 -- meaning that on average we now get more than one report per day. The quality is way higher than ever before. The reports are typically very detailed and long. [...]

For the first time in my life, my wife voiced concerns about my work hours and my imbalanced work/life situation. I work more than I’ve done before, but the flood keeps coming. [...]

This is a never-before seen or experienced pressure on the curl project and its security team members. An avalanche of high priority work that trumps all other things in the project that is primarily mental because we certainly could ignore them all if we wanted, but we feel a responsibility, we have a conscience and we are proud about our work.

Частота поступления отчётов о безопасности в 4–5 раз выше, чем в 2024 году, и вдвое выше, чем в 2025 — а это значит, что в среднем мы теперь получаем более одного отчёта в день. Качество намного выше, чем когда-либо. Отчёты, как правило, очень подробные и длинные. [...] Впервые в жизни моя жена высказала беспокойство по поводу моего рабочего графика и нарушенного баланса между работой и жизнью. Я работаю больше, чем когда-либо, но поток не прекращается. [...] Это давление на проект curl и его команду безопасности, которого мы никогда прежде не видели и не испытывали. Лавина высокоприоритетной работы, которая вытесняет всё остальное в проекте и которая носит преимущественно психологический характер — потому что мы, конечно, могли бы игнорировать всё это, но мы чувствуем ответственность, у нас есть совесть и мы гордимся своей работой.

The good news is that curl is a very solid piece of software, so the vulnerabilities people are finding tend not to be of high severity:

Хорошая новость в том, что curl — очень надёжная программа, поэтому обнаруживаемые уязвимости, как правило, не являются критическими:

What is also a good trend: almost no one finds terrible vulnerabilities. All vulnerabilities found the last few years in curl have all been deemed severity LOW or MEDIUM. I'm not saying there won't be any more HIGH ever, but at least they are rare. The most recent severity high curl CVE was published in October 2023.

Ещё одна положительная тенденция: почти никто не находит ужасных уязвимостей. Все уязвимости, обнаруженные в curl за последние несколько лет, без исключения были оценены как LOW или MEDIUM по степени серьёзности. Я не утверждаю, что уровня HIGH больше никогда не будет, но по крайней мере они редки. Последняя CVE с высоким уровнем серьёзности в curl была опубликована в октябре 2023 года.