- Nội dung được ghi trong
/.well-known/security.txt của dự án mã nguồn mở curl
- Dự án tiếp nhận các báo cáo về vấn đề bảo mật được phát hiện trong các sản phẩm của mình, nhưng không cung cấp tiền thưởng hay bất kỳ hình thức bồi đáp nào cho các vấn đề được báo cáo
- Thay vào đó, với các vấn đề đã được xác nhận, dự án sẽ ghi lời cảm ơn và công nhận công lao trong tài liệu
- Dự án cảnh báo rằng nếu ai đó làm lãng phí thời gian bằng các báo cáo sơ sài hoặc vô nghĩa, họ có thể bị công khai chế giễu và chặn
- Sử dụng định dạng chuẩn security.txt để tóm tắt ngắn gọn các nội dung cốt lõi của chính sách báo cáo bảo mật
Chính sách báo cáo bảo mật của dự án curl
- Dự án mã nguồn mở curl tiếp nhận báo cáo về các vấn đề bảo mật trong các sản phẩm do dự án curl tạo ra
- Có thể gửi báo cáo qua email (security@curl.se) hoặc trang GitHub Security Advisories
- Dự án nêu rõ không có chính sách thưởng, không cung cấp bồi đáp bằng tiền hoặc bất kỳ hình thức nào khác
- Thay vào đó, với các vấn đề đã được xác nhận, dự án sẽ ghi lời cảm ơn và công nhận công lao trong các tài liệu liên quan
Cảnh báo đối với các báo cáo không phù hợp
- Dự án nêu rõ: “Nếu bạn khiến chúng tôi lãng phí thời gian bằng các báo cáo vô dụng, chúng tôi sẽ cấm bạn và công khai chế giễu bạn”
- Đây là cách diễn đạt cảnh báo rất mạnh nhằm ngăn chặn các báo cáo thiếu chuyên môn hoặc không có căn cứ
- Nhấn mạnh chất lượng báo cáo và văn hóa báo cáo có trách nhiệm
Quy trình báo cáo bảo mật và thông tin chính thức
2 bình luận
Có lẽ cách duy nhất là đóng trang GitHub Issues vì những báo cáo được gửi lên một cách vô tội vạ
Ý kiến trên Hacker News
Gần đây tôi thấy tin cURL đã bỏ chương trình bug bounty vì bị ngập trong các báo cáo lỗi giả do AI tạo ra
Bài liên quan: thảo luận trên Hacker News, bài ETN
Tôi đang cảm nhận rõ rằng thời đại AI đã thực sự bắt đầu
Tôi cho rằng mô hình phân phối phần mềm nguồn mở đã trở thành một cấu trúc không bền vững
Ban đầu phong trào phần mềm tự do là để bảo đảm người dùng có quyền tự sửa và cải thiện phần mềm
Nhưng giờ đây đã hình thành một văn hóa kỳ vọng miễn phí vào issue tracker, review PR, hỗ trợ qua email, thậm chí cả vá bảo mật
Thực chất đây là công việc hỗ trợ có trả phí, và nếu không phải sở thích thì cần có đền bù
Dù tôi đã nói rõ là “không có ý định hỗ trợ”, chỉ trích vẫn trút xuống, và đó cũng là dự án OSS đầu tiên lẫn cuối cùng của tôi
Nếu nhiều người cùng muốn một tính năng thì quỹ thưởng sẽ tăng lên, và nhà phát triển sẽ chọn việc đó để làm
PM và tester cũng nhận một tỷ lệ nhất định, tạo ra cấu trúc mà ai cũng có động lực
“Mô hình Bazaar” của Eric S. Raymond và “định luật Linus (nhiều con mắt thì lỗi sẽ nông)” đều dựa trên tiền đề cộng tác công khai
Họ có thể tự đặt ra ranh giới và quy tắc, rồi chặn những người bất lịch sự
Gần đây tôi đang giúp dự án tài liệu hóa OWASP, và sinh viên Ấn Độ đang đổ lên hàng loạt PR và issue vô nghĩa do LLM tạo ra
Tôi đề xuất cần một cấu trúc như Ghostty: bắt đầu bằng ‘Discussion’ trước, rồi chỉ những issue được maintainer chấp thuận mới được chuyển thành PR
Như Torvalds đã nói, nhờ LLM mà việc bảo trì code có vẻ sẽ thành ác mộng
Có lần tôi gửi một báo cáo lỗi nhưng bị chỉ trích nặng nề trên Reddit vì thiếu thông tin tái hiện
Sau chuyện đó tôi gần như ngừng hẳn hoạt động trên mạng xã hội
Cần nhớ rằng chỉ trích là nhắm vào báo cáo chứ không phải vào cá nhân
Để giải quyết vấn đề đóng góp chất lượng thấp do Eternal September và LLM tạo ra, tôi nghĩ ngược lại cần tăng ma sát (friction) ở đầu vào
Ví dụ như người đóng góp lần đầu phải gửi báo cáo bằng bưu thiếp có mã QR chẳng hạn
Khi một dự án phải vùng vẫy trong đống PR đầy emoji và lỗi sai, mô hình Bazaar sẽ ngày càng khó vận hành
Việc thông tin chưa được kiểm chứng tràn lan không chỉ là vấn đề của nguồn mở mà là vấn đề của toàn xã hội
Văn hóa của chúng ta vẫn chưa có được hệ miễn dịch trước thông tin giả
Nó làm tôi nhớ đến thời The Pirate Bay từng công khai các email đe dọa pháp lý từ MPAA
Có thể thấy dấu vết đó ở trang phản hồi pháp lý của TPB (web archive)
Cách làm của họ không hẳn hiệu quả, nhưng đã trở thành một kiểu biểu tượng của sự phản kháng
Trong một dự án nguồn mở nổi tiếng do bạn tôi duy trì, sinh viên đại học Trung Quốc nộp báo cáo lỗ hổng bảo mật giả để làm bài tập
Phần lớn đều không thể tái hiện, nên chỉ làm lãng phí thời gian của maintainer
Ngoài ra, do khác biệt cấu hình giữa các bản phân phối, đôi khi lỗ hổng thực tế lại phát sinh từ cấu hình gói chứ không phải từ mã upstream
Ngay cả trên subreddit Kryptos K4 cũng tràn ngập các bài “đã giải được rồi!” do LLM tạo ra, và vi phạm lần đầu là bị ban ngay
Tôi lo rằng việc gian lận bài tập bằng AI giờ đã lan ra mọi lĩnh vực
Dù AI có phát triển đến đâu thì giá trị của tự học vẫn không thể thay thế
Cuối cùng LLM không phải tư duy sáng tạo, mà chỉ là công cụ tự động hoàn thành được tăng cường
Tôi nghĩ sẽ tốt nếu GitHub gán cho người dùng một điểm tin cậy hoặc hệ thống uy tín
Bài liên quan: bài GeekWire
Cuối cùng các công ty lại phải trả tiền cho dịch vụ triage trung gian
Trong quá trình đó, người phản hồi đầu tiên đôi khi không phải chuyên gia thực sự, khiến báo cáo thật bị xử lý chậm
Tình hình hiện tại là một cấu trúc tệ cho tất cả mọi người, và đang ngày càng xấu đi