同じ経験だわ。10年以上、成功した脆弱性開示プログラムを運営してきて、scanii.com（マルウェア識別APIサービス）には何千ドルも報酬を支払ってきたけど、最近（年始から）、月に5件だったのが、今は1日5件になっちゃった。これらは明らかにAI生成で、質がめっちゃ低い（でも、文章はうまい）。プログラムのルールも読まれてないし、明らかに「ウェブサイトにポイント＆クリックして報告する」だけ。OPが指摘したように、AIツールを使ってこの脆弱性を見つけたなら、そもそも公開されてるものだから、プログラムを閉じることも考えてる。まだそこまでは行ってないけど、ほとんどのレポートをフィルタリングするための新しいルールを設けたよ：1- AI生成のレポートはダメ、2- レポートにはエクスプロイトの動画を含めること。プログラムのルールはここで見られるよ：https://docs.scanii.com/article/131-does-scanii-have-a-secur...

もうCVE疲れだよ。超クリティカルな10/10の脆弱性が、フロントエンドをコンパイルするノードパッケージに悪意のある正規表現を与えるとハングするなんて、見つけるのが難しいものが本当に大事なことなのか分からなくなってきた。

確か「Beg Bounties」っていう名前だったかな。常にあって、うざいよね。

エージェントを使ったり、モデルに分類・トリアージしてもらうことを考えたことある？現代の問題には現代の解決策が必要だよ。

こういう低労力な報告が嫌だったから、セキュリティの受信箱をチェックして、正当なものをSlackの#securityで私にメンションしてくれる簡単な自動化ツールを作ったんだ。そうすればすぐに目に入るし、完全に自動生成されたものはスパムとしてマークする。正当なメールがスパムフォルダに入ってないかはチェックしてるけど、今のところ誤検知はないよ。

でも、なんで圧倒されてるのにC&Dで返すの？同じ人じゃない場合もあるよね？

ここ5年くらい、すべてのソフトウェアでそうなってる。人々はLinuxカーネルのバグを見つけるのが大事だって振る舞うけど、そのバグを悪用するためには、まず攻撃者があなたのコンピュータでコードを実行できる必要があるってことを完全に無視してる。今はリモートでそれをやるのはめちゃくちゃ難しいし。しかも、皮肉なことに、みんなそんなに気にしてない。最後の本当に悪い脆弱性はJavaのlog4shellだったけど、あれがどうやって導入されたか（つまり、Apacheの誰かが意図的にログステートメントがコードを実行できるようにしたのに、誰もそれを疑問に思わずにプロダクションにプッシュした）を考えると、みんながApacheのライブラリをサービスから完全に取り除くべきだっていう合図だったはずなのに、今でもそのソフトウェアは使われ続けてる。

そうだね、小さなFOSS団体でセキュリティレポートのレビューを手伝ってるんだけど、誰かが公開アクセス可能なSVNサーバーについて「クリティカル」な脆弱性を報告してきた。確かに、オープンソースソフトウェアをホスティングする目的だからね。でも、その報告は明らかに嘘だった。もっとひどいのは、最初は正当なように見えるやつで、AI生成の段落を何十も読まないと、隠れてる有効なものがないか確認しなきゃいけないやつ。

それに、私たちは年に一度のペンテスト契約を狙ってくる企業から、 unsolicitedな脆弱性レポートももらうんだ。倫理的にちょっとグレーだよね。

実装の正しさを検証するのはP NPで、真剣なCS研究じゃないよ。