Door AI gegenereerde rapporten over kwetsbaarheden zetten de beheerders van opensourceprojecten onder druk. Sommigen hebben hun bug-bounty-programma’s beëindigd, vertrouwen op een goed gedefinieerd dreigingsmodel of nemen gewoon even een pauze.
Opensourcebeheerders: onbetaald, overbelast en overspoeld met AI-slop
Met of zonder mayonaise? Achter de balie van een fastfoodrestaurant staan en deze vraag stellen, zou de meeste opensourcebeheerders meer geld opleveren dan het ontwikkelen en onderhouden van opensourcesoftware. Uit een enquête (deze en andere genoemde bronnen vind je via de link bij dit artikel) van het Amerikaanse bedrijf Tidelift uit 2024 blijkt dat 60 procent van de ondervraagde beheerders geen geld verdient met hun rol als opensourcebeheerder.
Van degenen die wel inkomsten halen uit hun opensourceprojecten, ontvangt slechts 26 procent meer dan 1000 dollar per jaar. Meer dan de helft van de respondenten gaf aan dat ze het al hadden opgegeven of erover nadachten om dat te doen. De redenen: stress, gebrek aan waardering en het ontbreken van een vergoeding voor het onderhouden van de basis van een groot deel van alle moderne software (zie kader).
2024 lijkt al lang geleden. Toen bestonden de huidige acute problemen nog niet en waren de mogelijkheden van LLM’s (Large Language Models) beperkt. Door AI-gegenereerde rapporten over kwetsbaarheden kwamen toen al massaal binnen bij de opensourceprojecten, maar het overgrote deel daarvan was nutteloze AI-slop, oftewel mooi ogende maar inhoudelijk waardeloze onzin [1].
Het einde van de bug bounties
De slop-rapporten verhoogden wel de werkdruk voor de beheerders aanzienlijk, die plotseling naast het werk aan het project zelf ook nog voor de taak stonden om het kaf van het koren te scheiden. Het sorteren op urgentie wordt ook wel ‘triage’ genoemd. Dit werd zo vervelend dat de hoofdontwikkelaar van het cURL-project, Daniel Stenberg, in januari 2026 de beëindiging van het bug-bounty-programma van cURL aankondigde. Stenberg verklaarde dat er werd gehoopt dat de stroom van binnenkomende rapporten enigszins in zou dammen door de financiële prikkel weg te nemen en zo de werkdruk voor de beheerders zou worden verlicht.
Enkele weken later verbeterde de kwaliteit van de meldingen echter – blijkbaar vrij plotseling en drastisch. Tegen een verslaggever van The Register zei Linux-kernelbeheerder Greg Kroah-Hartman in maart 2026: “Een paar maanden geleden kregen we nog AI-slop, door AI gegenereerde beveiligingsmeldingen die duidelijk onjuist of van slechte kwaliteit waren. Het was op een bepaalde manier grappig en baarde ons niet echt zorgen.”
Maar er was iets veranderd. Plotseling verschenen er goede, door AI gegenereerde rapporten die echte kwetsbaarheden documenteerden, niet alleen bij de Linux-kernel, maar bij alle opensourceprojecten. De kernelbeheerders, die een groot, gedistribueerd team vormen, kunnen de stroom aan. Maar kleinere projecten hebben veel minder capaciteit om de nog steeds massaal ingediende, maar nu veel relevantere meldingen over bugs en kwetsbaarheden te verwerken.
Toen kwam AI-producent Anthropic en maakte veel ophef over zijn nieuwe Frontier-model Mythos Preview. Mythos zou zo goed zijn in het opsporen en misbruiken van beveiligingslekken in software, dat Anthropic het model geheim wilde houden.
Tegelijkertijd werd Project Glasswing (zie het artikel over de Vulnpocalypse in deze serie) in het leven geroepen. Anthropic stelde aan geselecteerde bedrijven een voorlopige versie van Mythos ter beschikking, waarmee ze fouten in hun software konden opsporen en verhelpen. En er werden patches aangebracht: in de Firefox-browser van Mozilla verhielpen de ontwikkelaars in april 423 kwetsbaarheden, waarvan er 271 door Claude Mythos Preview waren ontdekt.
Microsoft spoorde in dezelfde maand 90 als kritiek aangemerkte kwetsbaarheden op, alleen al in de samenwerkingssoftware SharePoint. Cloudflare vond met Mythos in totaal 2000 bugs in de eigen code van het bedrijf. Volgens een blogpost van Anthropic van 22 mei was het aantal valse meldingen te overzien.
Daarnaast scande Anthropic meer dan 1000 opensourceprojecten met Mythos. Volgens de blogpost had het AI-model tot dan toe 23.019 kwetsbaarheden ontdekt, waaronder 6202 die het als kritiek of hoog classificeerde. Uit daaropvolgend onderzoek door Anthropic en beveiligingsbedrijven bleek dat het model een trefpercentage van 90,6 procent had. De inschatting van Mythos van de ernst van de gevonden kwetsbaarheden bleek in 62,4 procent van de gevallen correct te zijn. Onder de door Mythos gevonden kwetsbaarheden bevond zich onder andere ook een 27 jaar oude bug in OpenBSD, die de krantenkoppen haalde.
Ook het cURL-project werd onderzocht. Volgens een blogpost van Stenberg vond Mythos in de codebasis daarvan echter slechts één kwetsbaarheid van beperkte omvang en een paar bugs die niet van belang waren voor de veiligheid. Een mogelijke reden hiervoor is waarschijnlijk dat cURL, zoals Mythos zelf blijkbaar ook vaststelde, een programma is dat al uitgebreid is getest.
Opensource: de basis van bijna alle moderne software
Opensourceprojecten zijn vaak als afhankelijkheden (dependency’s) geïntegreerd in talloze andere opensource- of ook propriëtaire softwareprojecten. Uit het Open Source Security and Risk Analysis-rapport van 2025 blijkt dat 97 procent van de door de auteurs onderzochte commerciële softwareprojecten gebruikmaakt van opensource-dependency’s.
Vaak wordt de code van deze dependency’s door één enkele persoon onderhouden. Uit de downloadcijfers van de pakketbeheerders (registry’s waaruit ontwikkelaars de pakketten met de code downloaden) blijkt dat het leeuwendeel van de downloads voor rekening komt van grote bedrijven. Deze uitspraak deed Brian Fox – die betrokken is bij het opensourceproject van de Java-pakketbeheerder Maven Central – tegen het Britse technologiemedium The Register. Toch vloeit er maar heel weinig geld van die bedrijven terug naar de beheerders van de registry’s of naar de kas van de maintainers.
Geen beveiligingsprobleem
Een andere mogelijke reden noemt Andrew Nesbitt (zie het interview in deze reeks artikelen) in een blogpost (zie de links). Nesbitt was blijkbaar nieuwsgierig geworden door de uitkomst van Mythos’ onderzoek naar de cURL-codebasis en had op zijn beurt met een paar AI-gestuurde beveiligingsscanners in de broncode van het project rondgesnuffeld. Hij schrijft dat de resultaten beter waren dan verwacht, omdat de scanners een bestand met de naam docs/VULNDISCLOSURE-POLICY.md hadden gelezen en toegepast. Het bestand bevat een paragraaf met de titel Not a Security-Issue. Daarin definieert cURL 16 categorieën van fouten die buiten zijn model van bedreigingen vallen en waarvoor het project geen verantwoordelijkheid op zich neemt.
De geavanceerdere agent-gebaseerde scanners zouden rekening houden met dergelijke bestanden en resultaten uit deze categorieën uitsluiten van de kwetsbaarheidsrapporten, voordat iemand ze hoeft te lezen en te sorteren. Andere projecten met een dergelijk beleid zijn bijvoorbeeld Node.js, Django of ook Google Chrome (in de Chrome Security FAQ).
Het idee om kwetsbaarheden met een laag bedreigingsniveau niet mee te tellen en om te beperken wat een project als kwetsbaarheid beschouwt, werd onder andere ook besproken door Josh Bressers, presentator van de podcast Open Source Security. Het is aan de projecten om te beslissen wat een kwetsbaarheid met een lage of matige ernst is en wat zij als binnen en buiten hun dreigingsmodel beschouwen. Wie dat niet bevalt, kan meewerken, iets anders gaan gebruiken of het project forken.
Summer of Bliss
Ondanks de paragraaf Not a Security Issue kwamen er bij het cURL-project blijkbaar in totaal zoveel meldingen binnen dat Stenberg besloot om juli van dit jaar als pauzemaand uit te roepen. Het project nam de hele maand geen veiligheidsmeldingen in behandeling. Gebruikers met een ondersteuningscontract die een probleem meldden kregen in die periode wel passende ondersteuning. Maar al het andere – met uitzondering van kritieke beveiligingslekken – moest wachten tot 3 augustus. Verschillende andere opensourceprojecten sloten zich aan bij de pauzemaand.
In een ander blogbericht van 3 augustus, waarin Stenberg terugblikt op deze “Summer of Bliss”, schrijft hij dat de pauzemaand een van de beste beslissingen was die het project in lange tijd heeft genomen. De projectdeelnemers hebben de gelegenheid gehad om uitgebreid bij te komen en zich bezig te houden met dingen die leuk zijn. Tot nu toe heeft hij geen negatieve gevolgen waargenomen. Ook waren er in juli geen nieuwe aanmeldingen voor betaalde ondersteuningscontracten, waaruit hij concludeert dat de pauze cURL-gebruikers zonder dergelijke contracten geen grote zorgen baarde. Hij acht een volgende zomer of winter van gelukzaligheid zeker denkbaar.
Kathrin Stoll en Daniel Dupré
Literatuur
[1] Tom Leon Zacharek en Alieke van Sommeren, AI-slop in diverse vormen en hoe het de aandacht trekt, c’t 6/2026, p.60
Links bij dit artikel
Enquête onder Tidelift-beheerders
Een enquête van het bedrijf Tidelift uit 2024 geeft inzicht in de financiële situatie van opensourcebeheerders.
Open Source Security Report 2025
The Register: downloads van pakketbeheerders
cURL
Beëindiging van het cURL-bugbountyprogramma
De hoofdontwikkelaar van het cURL-project heeft de beëindiging van het bugbountyprogramma aangekondigd.
cURL bug bounty programma
Mythos cURL-analyse
In een blogpost beschrijft Stenberg het onderzoek naar de cURL-codebasis door het AI-model Mythos.
cURL Summer of Bliss
Stenberg riep juli uit tot pauzemaand voor het cURL-project.
Aankondiging Summer of Bliss
Terugblik op Summer of Bliss
Mythos
27 jaar oude OpenBSD-bug
Mythos ontdekte een 27 jaar oude kwetsbaarheid in OpenBSD, die de krantenkoppen haalde.
https://www.heise.de/en/news/OpenBSD-7-9-Mythos-bug-fixed-more-partitions-and-security-11300769.html
Beveiligingsanalyse van Mythos
AI-rapporten
Interview met The Register
Een verslaggever van The Register sprak met Linux-kernelbeheerder Greg Kroah-Hartman over door AI gegenereerde rapporten.
Beveiliging
Blogbericht van Andrew Nesbitt
Andrew Nesbitt legt in een blogbericht uit waarom AI-scanners bepaalde fouten als niet-veiligheidsrelevant classificeren.
Podcast van Josh Bressers
Josh Bressers bespreekt de definitie van kwetsbaarheden en de verantwoordelijkheid van opensourceprojecten.
Praat mee