curl Menghentikan Bug Bounty: Banjir Laporan AI dan Masa Depan Program Bounty

Proyek curl, salah satu perangkat lunak open source paling banyak dipakai di dunia, mengakhiri program bug bounty-nya pada 31 Januari 2026. Daniel Stenberg, pemelihara utama curl, menyebut banjir laporan buatan AI, laporan manusia yang kian buruk, dan pelapor yang mengejar perdebatan sebagai alasannya. Keputusan curl bug bounty ini banyak dibahas sebagai cermin persoalan pelaporan kerentanan di ekosistem open source.

Ringkasan Keputusan curl Bug Bounty

• Tanggal berakhir: program bounty curl berakhir 31 Januari 2026. Dalam tulisan blognya Stenberg menyatakan tidak ada lagi program bug bounty curl.
• Rekam jejak: program yang berjalan lewat HackerOne dan Internet Bug Bounty itu menghasilkan 87 kerentanan terkonfirmasi dan lebih dari US$100.000 hadiah yang dibayarkan.
• Penurunan kualitas: tingkat laporan yang terkonfirmasi turun dari di atas 15 persen pada tahun-tahun sebelumnya menjadi di bawah 5 persen sejak 2025.
• Kanal pelaporan: setelah bounty berakhir, laporan sempat dialihkan ke private vulnerability reporting GitHub dan email. Mulai 1 Maret 2026 curl kembali memakai HackerOne sebagai kanal resmi, tetap tanpa imbalan uang.
• Sifat keputusan: Stenberg menulis bahwa proyek tidak pernah berkata "tidak akan pernah", sehingga keputusan ini masih bisa ditinjau ulang.

Mengapa curl Menghentikan Bug Bounty

Menurut Stenberg, jumlah laporan yang dihasilkan atau disesatkan oleh AI naik tajam pada 2025. Bahkan laporan yang bukan "sampah" jelas pun sering kurang akurat, dan sebagian pelapor melebih-lebihkan temuan serta tidak peduli memperbaiki masalah. Beban memverifikasi dan membantah laporan buruk menguras waktu dan energi tim kecil yang aktif. Tujuannya, katanya, adalah menghilangkan insentif untuk mengirim laporan yang tidak diteliti dengan baik, baik buatan AI maupun bukan.

BleepingComputer mencatat contoh konkretnya: tim menerima tujuh laporan HackerOne dalam enam belas jam di awal satu minggu. Sebagian memang bug, tetapi tim menyimpulkan tidak satu pun merupakan kerentanan. HackerOne menanggapi bahwa volume laporan berbantuan AI memang naik di seluruh industri, dan perusahaan menambahkan fitur AI untuk membantu pelanggan menyaring laporan berkualitas rendah dan duplikat. HackerOne juga menyatakan pengalaman curl tidak mewakili apa yang biasa terlihat pada program perusahaan.

Kronologi Singkat

• 22 Januari 2026: BleepingComputer melaporkan rencana penghentian lewat perubahan yang menunggu pada berkas BUG-BOUNTY.md.
• 26 Januari 2026: Stenberg menerbitkan penjelasan lengkap di blognya.
• 31 Januari 2026: hari terakhir pengiriman laporan lewat program bounty di HackerOne; laporan yang sedang berjalan tetap diproses.
• 1 Februari 2026: laporan keamanan dialihkan ke GitHub atau email.
• 1 Maret 2026: HackerOne kembali menjadi kanal resmi pelaporan keamanan curl, tanpa bounty. Stenberg menyebut perpindahan ke GitHub sebagai kekeliruan.
• 26 Oktober 2026: laporan yang dinilai berkeparahan LOW atau MEDIUM diminta diajukan sebagai issue publik di GitHub, sedangkan HIGH dan CRITICAL tetap privat di HackerOne, karena tim menghadapi lonjakan laporan.

Gambaran Lebih Luas: Banjir Laporan AI dan Pendanaan Pemelihara

Kasus curl tidak berdiri sendiri. Menurut Linux Foundation, kemajuan AI telah sangat meningkatkan kecepatan dan volume penemuan kerentanan, sehingga pemelihara menerima lebih banyak temuan daripada yang sanggup mereka triase. Pada 17 Maret 2026, Linux Foundation mengumumkan hibah US$12,5 juta dari Anthropic, AWS, GitHub, Google, Google DeepMind, Microsoft, dan OpenAI untuk membantu keamanan open source, dikelola Alpha-Omega dan OpenSSF. Dalam pengumuman itu, Greg Kroah-Hartman mengatakan dana hibah saja tidak akan menyelesaikan masalah yang ditimbulkan alat AI bagi tim keamanan open source. Gambaran lebih lengkap ada di Pendanaan Keamanan Open Source 2026, dan cerita sisi penemuan oleh AI di Claude Mythos Preview dan Project Glasswing.

Etika untuk Bug Hunter: Cara Melapor yang Dihargai Pemelihara

Bagi bug hunter, pelajaran terpentingnya adalah kualitas mengalahkan volume. Panduan praktis:

1. Verifikasi sendiri sebelum melapor. Jangan kirim keluaran alat atau model AI tanpa Anda pahami dan buktikan temuannya pada versi yang terbaru.
2. Beri bukti yang dapat direproduksi. Sertakan versi, lingkungan, langkah mengonfirmasi, dan dampak nyata, bukan klaim umum. Menyertakan usulan perbaikan sangat dihargai.
3. Jujur tentang cakupan. Jangan melebih-lebihkan keparahan. Pemelihara akan menilai sendiri.
4. Ikuti kanal yang ditetapkan proyek, misalnya kebijakan keamanan di repositori, dan hormati waktu pemelihara. Pelajari prosesnya di Responsible Disclosure.
5. Uji hanya yang Anda berwenang uji. Menguji sistem milik orang lain tanpa izin adalah akses ilegal dan dapat dijerat Pasal 332 KUHP yang berlaku sejak 2 Januari 2026. Program bounty yang sah menetapkan ruang lingkup yang jelas.
6. Jangan berharap bounty. curl kini tidak membayar imbalan apa pun untuk laporan keamanan, berapa pun tingkat keparahannya. Motivasi sebaiknya belajar dan berkontribusi, bukan hanya hadiah.

Kalau Anda baru mulai, mulailah dari Bug Bounty: Pengertian, Jenis Program, dan Cara Kerjanya dan Cara Menjadi Bug Hunter untuk Pemula.

Apa Artinya bagi Organisasi dan Pemelihara

Tim yang menjalankan program bounty atau menerima laporan publik perlu menyiapkan kapasitas triase, templat laporan yang menuntut bukti, dan aturan jelas tentang konten buatan AI. Tim yang bergantung pada proyek open source sebaiknya mempertimbangkan membantu pemelihara, baik dengan waktu, patch, maupun dana. Sekali lagi, keputusan curl tidak berarti curl tidak lagi peduli keamanan; proyek tetap menerima laporan, hanya tanpa imbalan.

Pertanyaan yang Sering Diajukan

Apakah curl masih menerima laporan kerentanan?

Ya, tanpa imbalan uang. Sejak 1 Maret 2026 laporan kembali diterima lewat HackerOne. Sejak 26 Oktober 2026, temuan berkeparahan LOW atau MEDIUM diminta diajukan sebagai issue publik di GitHub, sedangkan HIGH dan CRITICAL tetap privat di HackerOne. Halaman kebijakan curl juga meminta agar laporan tidak dikirim lewat email.

Apakah semua laporan AI buruk?

Tidak. Masalahnya adalah laporan yang tidak diverifikasi. AI juga dipakai menemukan kerentanan nyata, dan yang menentukan adalah apakah pelapor memahami dan membuktikan temuannya.

Apakah program bounty lain ikut berhenti?

Stenberg mencatat volume laporan curl di HackerOne naik tajam, sementara program open source sejenis seperti Ruby, Node, dan Rails relatif datar atau sedikit turun, dan ia menduga imbalan uang ikut berperan. Kami tidak menyimpulkan bahwa program lain akan berhenti.

Kesimpulan

Per 29 Oktober 2026, keputusan curl menjadi pengingat bahwa pelaporan kerentanan bergantung pada kepercayaan dan kualitas, bukan jumlah. Bug hunter yang bekerja rapi, etis, dan terverifikasi akan semakin berharga. Untuk membangun kemampuan itu secara sistematis, lihat kursus Linuxhackingid.