Über HackerOne und die Projekt-E-Mail nimmt curl in dieser Zeit keine neuen Fehler- oder Sicherheitsmeldungen an. Das Bug-Bounty-Programm ruht, während kostenpflichtige Supportkunden ausgenommen bleiben. Stenberg nennt Erholung nach rund vier Monaten Dauerbelastung als Hauptgrund.
Laut heise muss der Maintainer inzwischen vier- bis fünfmal so viele Meldungen prüfen wie 2024. Ein Teil davon ist KI-generiert und sachlich falsch. Stenbergs eigener Ankündigung zufolge geht es bei der Pause trotzdem um die Gesamtbelastung, nicht nur um eine einzelne Report-Kategorie.
Der Fall zeigt die Triage als Engpass: Wenn plausibel formulierte, aber wertlose Meldungen billig entstehen, tragen Maintainer die Kosten der Prüfung. Bei einem kritischen Open-Source-Projekt kann eine kleine Zahl verantwortlicher Personen diese Last nicht beliebig ausweiten.