«Отчёты об уязвимостях больше не особенные»: мейнтейнеры тонут в LLM-спаме про плохой CSS

Контекст

Эссе Филиппо Вальсорды набрало 158 очков и 70 комментариев. Вальсорда — известный криптоинженер, и его тезис про обесценивание багрепортов резонировал с мейнтейнерами.

Что произошло

Главная мысль: раньше отчёт об уязвимости был «подарком», требующим внимания; теперь это поток, который невозможно обрабатывать как прежде, потому что значительная часть — автоматический шум.

Что говорит тред

Мейнтейнер описал масштаб бедствия:

«По-моему, это ещё и захлестнул спам. Как у человека, ведущего компанию, у меня 2–5 непрошеных "отчётов об уязвимостях" в неделю. Половина — LLM нашёл плохой CSS на нашем лендинге. Другую половину я считаю попыткой вымогательства, поэтому просто помечаю как спам» — themanmaran

Триажер подтвердил с другой стороны:

«Согласен. Одно из последствий "вульнпокалипсиса" — стало ещё труднее просеивать шум: я разбираю больше десятка отчётов в неделю, многие "настоящие" в смысле реального дефекта, но с неясным влиянием на обычного пользователя» — woodruffw

А самый сильный поворот — про то, что особенным было вообще не то:

«Отчёты об уязвимостях никогда и не были особенными. Особенной была демонстрация импакта через них. Автоматизация "демонстрации воздействия" с ИИ — это совсем не она. Последняя миля — человеческая, и всегда была» — jerrythegerbil

Прозвучал и оптимизм: возможно, это временно — LLM найдут и помогут починить все лёгкие баги, поток иссякнет, и отчёты снова станут особенными.

Что это значит

Тред переформулировал проблему точнее автора: обесценилась не уязвимость, а её декларация. Раз нашёл — теперь умеет каждый бот; ценность сместилась к доказательству реального вреда, а это всё ещё ручная работа. Для мейнтейнеров это меняет правило игры прямо сейчас: фильтровать приходится не «есть ли баг», а «есть ли импакт» — и именно на этой последней миле ИИ пока бесполезен.