El mundo del software de código abierto (Open Source) ha estado muy movido recientemente debido a la decisión de Daniel Stenberg, el creador de curl, de retirar su programa de recompensas por errores (bug bounty).
Si no estás familiarizado, curl es básicamente el «motor» invisible que permite que casi cualquier programa en el planeta (desde tu refrigeradora inteligente hasta los servidores de la NASA) transfiera datos por internet. Es, posiblemente, el «cacharro» de software más importante del mundo.
Aquí tienes el detalle de por qué han decidido cerrar el grifo de los pagos a investigadores.
El Cierre del Bug Bounty de curl: ¿Por qué Daniel Stenberg dijo basta?
Desde hace años, curl ofrecía dinero a hackers éticos que encontraran fallos de seguridad. Sin embargo, en un anuncio que ha generado mucho debate, Stenberg confirmó que el programa se detiene. La razón no es el dinero, sino el agotamiento humano provocado por la Inteligencia Artificial y los «cazadores de recompensas» de baja calidad.
1. El problema: El spam de vulnerabilidades falsas
Con el auge de herramientas como ChatGPT, miles de personas que no saben programar han empezado a usar la IA para analizar el código de curl y generar reportes de seguridad automáticos.
- Reportes Basura: La IA suele «alucinar» o encontrar problemas teóricos que, en la práctica, no son peligrosos o son imposibles de ejecutar.
- Volumen Insoportable: El equipo de curl empezó a recibir una avalancha de correos con reportes falsos pero que, por protocolo, tienen que ser revisados uno por uno.
2. El factor «Begbounty» (Cazadores de limosnas)
Daniel Stenberg acuñó o popularizó el término para referirse a personas que envían reportes absurdos solo para intentar sacar unos cuantos dólares, incluso cuando el error no existe.
«Estamos gastando más tiempo explicando por qué un reporte es una basura que arreglando código real», mencionó Stenberg en sus redes.
3. ¿Por qué lo hace ahora?
El detonante ha sido la fatiga del equipo. En el software libre, la mayoría de los desarrolladores trabajan por amor al arte o con recursos limitados. El proceso de:
- Recibir un reporte generado por IA.
- Analizarlo durante horas para ver si es real.
- Descubrir que es un error inventado por un bot.
- Recibir insultos del «investigador» por no querer pagar.
… se volvió una carga mental que ponía en riesgo el desarrollo del programa.
4. ¿Qué significa esto para la seguridad?
No significa que curl dejará de ser seguro. Stenberg ha aclarado que:
- Seguirán arreglando bugs que la comunidad reporte de forma legítima.
- Simplemente ya no habrá una recompensa monetaria garantizada a través de plataformas intermediarias, para filtrar a quienes solo buscan dinero fácil con reportes generados por IA.
Lo que debes saber sobre curl
Si eres desarrollador, sabes que curl es una herramienta de línea de comandos para transferir datos con sintaxis URL. Soporta protocolos como HTTP, HTTPS, FTP y más. Un ejemplo básico de su uso en consola es:
$curl -X GET «[https://api.ejemplo.com/datos](https://api.ejemplo.com/datos)» -H «accept: application/json»
