Laut Stenberg lagen in den vergangenen Jahren über 90 Prozent aller eingereichten Meldungen schnell erkennbar unter der Stufe HIGH. Wer künftig eine LOW- oder MEDIUM-Lücke über HackerOne meldet, wird gebeten, sie auf GitHub neu einzureichen; auf HackerOne wird der Bericht als „informativ“ geschlossen und offengelegt. Alle wichtigen Maintainer fühlten sich überlastet und an der Grenze dessen, was sie leisten können, schreibt Stenberg.
Als Treiber nennt er KI-Modelle, die viele der neu gemeldeten Lücken finden. Oft gehe es um ausgefallene Kombinationen von Optionen, die in der Praxis kaum jemand auslöst. Zudem analysierten Forscher mit KI-Werkzeugen jede frisch veröffentlichte Lücke und meldeten danach verwandte Fehler. Echte Schwachstellen könne das Projekt trotzdem nicht ignorieren.
Die Umstellung folgt auf eine ungewöhnlich große Sicherheitsrunde: Mit curl 8.23.0 behob das Projekt am 14. Oktober 24 Schwachstellen, eine davon hatte es vorab als HIGH eingestuft. Seit 2021 hatte curl nur zwei Lücken dieser Stufe veröffentlicht. Den Nachteil benennt Stenberg selbst: Angreifer bekommen etwas mehr Zeit, schwache Stellen auszunutzen. Dafür könnten Distributionen Korrekturen früher nachverfolgen und Außenstehende bei der Bewertung helfen. Ob das Bug-Bounty-Programm für die öffentlichen Fälle weiter zahlt, sagt die Ankündigung nicht.