Relatórios de vulnerabilidade com IA agora são precisos, mas esgotam os maintainers do curl

Daniel Stenberg, maintainer do curl, escreveu em 22 de outubro de 2026 que ignorar o "slop" não é uma opção. Relatórios feitos com ajuda de IA apontam problemas reais e, às vezes, vulnerabilidades. Segundo ele, ignorá-los só porque a IA os encontrou deixaria os usuários mais vulneráveis. Ele prefere nem chamar esses relatórios de slop, já que costumam ser corretos, ainda que prolixos demais.

Stenberg afirma que, desde a primavera de 2026 (hemisfério norte), os relatórios inventados e alucinados praticamente sumiram. Nos últimos meses, centenas de relatórios chegaram ao curl e todos tiveram IA envolvida em algum grau. O desafio agora é alto volume com alta qualidade. Cada relatório tem centenas de linhas, com explicações confusas e repetitivas. A IA também erra a fronteira entre bug e vulnerabilidade e a severidade, mas, segundo ele, humanos também erram nisso. Um ponto positivo: reproducers e provas de conceito, antes trabalhosos, agora saem com um ou dois prompts.

Ele também explica por que o projeto não pode simplesmente parar de corrigir falhas. Open source não oferece garantias legais, mas o curl tem metas altas de qualidade e parte dos envolvidos vende suporte e serviços, com obrigação contratual de entregar releases seguros.

A cobertura do CEVIU mostra a escalada. Em 13 de maio de 2026, em "Mythos encontra vulnerabilidade no curl", Stenberg relatou que o modelo Mythos da Anthropic produziu cinco descobertas "confirmadas" no código do curl. Em 28 de maio de 2026, "Projeto curl Pressionado por Fluxo Inédito de Vulnerabilidades de Segurança" já apontava esgotamento severo dos desenvolvedores. Em 20 de julho de 2026, "Relatórios de bugs via IA quadruplicam no curl, sobrecarregando desenvolvedores" registrou submissões quadruplicadas em relação a 2024 e duplicadas em relação a 2025.

O novo texto de Stenberg acrescenta um diagnóstico: o problema deixou de ser lixo alucinado e passou a ser volume de relatórios corretos e verbosos, que exigem triagem real.

Para quem opera um programa de divulgação de vulnerabilidades ou mantém um projeto open source, a leitura é que filtrar por "cheira a IA" deixou de funcionar como triagem. O gargalo migra para a leitura, a validação e a classificação de severidade. Isso sugere que vale pedir um resumo curto escrito por humano no início do relatório e investir em processo de triagem, em vez de tentar barrar o uso de IA.