Ведущий разработчик и основатель Curl Дэниел Стенберг сообщил, что один из участников проекта заменил символ ASCII на альтернативу Unicode в pull request, но никто в команде GitHub этого не заметил.
По словам Стенберга, изменение «выглядело идентично версии ASCII, поэтому визуально заметить его было невозможно». В проекте Curl «внедрили проверки и добавили задачу CI, которая сканирует все файлы и проверяет каждую последовательность UTF-8 в репозитории git».
Сам разработчик воспроизвёл похожую проблему, заменив латинскую «g» на армянскую «co». Средство просмотра подчеркнуло разницу, но человеку-рецензенту увидеть её невозможно. Стенберг назвал это проблемой, которую, как он надеется, исправят в GitHub. он сослался на опыт в Gitea.
В репозитории git curl большинство файлов и большая часть контента — это обычный ASCII, поэтому разработчики могут внести в белый список небольшой набор последовательностей UTF-8 и определённые файлы, а остальным запретят использовать UTF-8. Чтобы реализовать это изменение, команда просмотрела все тестовые файлы в репозитории curl и убедилась, что все UTF-8 были заменены другими типами escape-последовательностей.
Стенберг жаловался, что изначально он не получил «почти никаких ответов» от GitHub, поскольку там, «возможно, просто слишком заняты реализацией следующей функции ИИ, которая нам не нужна». Однако позднее разработчик сообщил, что в GitHub признали эту внутреннюю проблему безопасности и работают над её устранением.
Ранее Стенберг объявил, что его проект перестанет изучать отчёты об уязвимостях через платформу HackerOne, полученные с помощью ИИ-систем. По заверению Стенберга, подобные массовые сообщения об уязвимостях от систем на базе ИИ перегружают команду проекта. Для проверки ИИ-отчётов необходимо время, которое несравнимо с тем временем, что тратится для создания подобных отчётов при помощи ИИ.
