curl 项目创始人 Daniel Stenberg 近日在其博客中详细描述了团队当前面临的空前压力。这种压力的来源并非传统意义上的漏洞挖掘，而是大量由人工智能辅助生成、且内容可信度颇高的安全报告涌入项目的问题追踪系统。Simon Willison 在其博客中转发并评论了这一情况，引发开发者社区对 AI 时代开源安全维护者处境的广泛讨论。
根据 Stenberg 的说法，当前安全报告的提交速度是 2024 年的四到五倍，也是 2025 年的两倍，这意味着平均每天都会收到一份以上的新报告。更值得关注的是，这些报告的质量远超以往：它们通常非常详细，篇幅也很长，包含完整的复现步骤和背景分析。相比过去那些模糊、重复甚至明显错误的报告，如今的问题报告往往需要维护者投入大量时间逐条审阅和验证。
这种持续的高强度工作已经对 Stenberg 的个人生活产生了明显影响。他坦言，这是人生中第一次妻子对他的工作时间和失衡的工作与生活状态表达了担忧。尽管他投入的时间比以往任何时候都多，但报告仍源源不断地到来，看不到结束的迹象。
Stenberg 将这种局面形容为 curl 项目及其安全团队成员从未经历过、也从未见过的压力。这是一场高优先级工作的雪崩，压倒了项目中其他所有事务。他特别指出，这种压力主要是精神层面的——团队完全可以选择忽略这些报告，但他们有责任感、有良知，也为自己的工作感到自豪，因此无法坐视不管。
不过，情况也有积极的一面。curl 本身是一款非常健壮的软件，因此人们发现的问题往往严重程度并不高。Stenberg 表示，最近几年在 curl 中发现的所有漏洞都被评定为低危或中危级别，几乎没有人找到真正可怕的漏洞。他不排除未来仍会出现高危漏洞，但至少这类情况十分罕见。curl 最近一次被评为高危的 CVE 发布于 2023 年 10 月。
这一事件折射出 AI 辅助安全研究带来的双刃剑效应：一方面，自动化工具让更多人能够高效地发现真实存在的问题，提升了软件的整体安全性；另一方面，报告数量的激增也给依赖有限人力的开源项目维护者带来了难以承受的负担。如何在利用 AI 提升安全性的同时，建立更合理的报告分流与处理机制，已成为开源社区亟待面对的新课题。