curl プロジェクトの創始者である Daniel Stenberg 氏は最近のブログ投稿で、チームが直面している前例のない圧力について詳しく述べた。AI の支援を受けて発見された信頼性の高いセキュリティ報告が大量に寄せられ、セキュリティチームの作業負荷が急増しているという。
Stenberg 氏によると、現在のセキュリティ報告の受信レートは 2024 年の 4～5 倍、2025 年の 2 倍に達しており、平均して 1 日 1 件以上の報告が届いている。これらの報告は質がこれまでになく高く、非常に詳細で長文であることが多い。同氏は、自分の人生で初めて妻が労働時間とワークライフバランスの崩れについて懸念を表明したと明かした。以前より多くの時間を仕事に費やしているが、報告の洪水は止まらないという。
この圧力は主に精神的なものであると Stenberg 氏は説明する。チームは望めばこれらの報告をすべて無視することもできるが、責任感と良心、そして自分たちの仕事への誇りがあるため、そうすることはできない。この高優先度の作業の雪崩が、プロジェクト内の他のすべての事項を圧倒している。
しかし、明るい材料もある。ほとんど誰も壊滅的な脆弱性を発見していないのだ。過去数年間に curl で見つかった脆弱性はすべて、重大度が LOW または MEDIUM と判定されている。Stenberg 氏は、将来 HIGH の脆弱性が再び発生しないとは言えないが、少なくともまれであると述べている。curl で最後に HIGH の脆弱性が公開されたのは 2023 年 10 月であり、これは curl というソフトウェア自体の堅牢性をある程度証明している。
この状況は、AI を活用したセキュリティ研究がもたらす諸刃の剣の効果を浮き彫りにしている。一方では脆弱性の発見効率と品質を高めるが、他方ではオープンソースのメンテナーに計り知れない作業負荷と精神的プレッシャーを与えているのだ。