問題を再現するために、この脆弱性についてBardで調べてみた。BardがLLMとして言及されてるのを見ると、なんだか懐かしい気分になるね :)

2つのレポートを見たけど、それがAIから直接出ているのか、セキュリティをよく理解していない非常に若い学生からのものなのか判断できなかった。LLMは一般的にもっと説得力があると思う。

二つ目の報告で、ダニエルはスロッパーにすごく優しく挨拶して、会話を始めようとしたんだけど、スロッパーは全然違う名前で呼んできたんだ。しかもそれが2023年12月の話。めっちゃ疲れたに違いない。

正直、読んでてムカつく。cURLがこんなに長い間我慢してたなんて、驚きだわ。

その報告は明らかにAI生成だし、スタッフがそれを認識してないのが不思議で真剣に取り合ってるのが変だ。

同意するけど、返金は合理的な人がそれを脆弱性と考えられるかどうかに基づくべきだね。外部の人には、ある行動が期待されるものなのか脆弱性なのかを判断するのは難しいことが多い。

バグが重要だと判明した場合に返金されるエントリー料金があれば、すぐに解決すると思う。これをNotionからConfluenceへのコスト境界と呼んでいる。Notionが最初に出たときは、サクサク動いて使いやすかった。ページを作成するのがほぼ手間いらずだったから、すぐに何千ものページができてしまったけど、ほとんどが無駄だった。Confluenceは、西欧では攻撃的に遅い。ページを追加することを考えるだけで気が滅入るから、既存のページを更新してリクエストタイムアウトの時間を節約する方が楽なんだ。結果的に、大企業でも約20ページしかない。sleep(15 * SECOND)が対策になるとは言わないけど、何かがスケールで非常に簡単にできるようになると、元の有用性がノイズの海に埋もれてしまうんだよね。

そのエピソードは面白いし、同時に怖い。オプションのパスワードは必須のより便利だけど、オプションのPINもそうだよね。一番便利なUXは、全くログインしなくてもいいことだ！もちろん、他の人が自分の銀行口座にアクセスできるのは不便だと思うけど。

バグバウンティは、提出者にとってリスクが大きいことが多い。報告を読む人があまり詳しくなくて、誤解することもよくあるし、どんな報告が求められているのかルールが不明瞭なことも多い。参加費を取ると、そのリスクが増える。正直、バグバウンティは両方にとってちょっと悲惨だよ。バグバウンティプログラムの受け取る側で働いたことがあるけど、提出されるものは信じられないくらいひどい。AIが登場する前でも、整理するのは大変だったから、今はどんな感じか想像もつかない。提出者にとっては、評価が公平に行われる保証がないまま、実質的にスペックで働いているようなもんだよね。たとえ評価されても、10年前に報告された問題の重複じゃないかという賭けをしてるわけだし、その会社が直す気がないだけなんだ。

cURLはそのプログラムを誠実に運営して、cURLが重視するバグ報告を提出する人たちの信頼をすぐに得るだろう。でも、君の銀行はそうじゃないし、私の銀行も、ほとんどの小売銀行もそうじゃない。もし初期コストが本当に潜在的な提出者を遠ざけるなら、ハッカーたちが君にお金を前払いして、バグが良さそうならその分の取り分を求めるような小規模な産業が生まれるだろう。それが気持ち悪いと思うかもしれないけど、実際はそうじゃない。彼らはプロジェクトのバグトリアージをやってくれるから、どんなソフトウェア会社も人にお金を払うことを喜ぶはずだよ。