O vibe coding está matando o open source? O caso do cURL

COMO ASSIM o Vibe Coding está matando o Open Source?

O cURL é um software gratuito e de código aberto que roda por trás de quase tudo que você usa na internet. O criador dele tinha um programa desde 2019: você encontrava uma falha de segurança, reportava e era pago. Em 6 anos, pagou USD $86.000 e encontrou 78 vulnerabilidades reais.

Ele encerrou o programa em janeiro.

Antes, mais de 15% dos relatórios eram válidos. Em 2025, caiu para menos de 5%. O volume se multiplicou por oito. Gente que pedia para a IA encontrar falhas, copiava o que saía e mandava sem revisar. Relatórios que soam sérios. Mas não tem nada dentro.

Em seis anos: nenhum relatório gerado por IA sem supervisão humana encontrou uma vulnerabilidade real. Zero.

Mas aqui eu fico com uma pergunta que não consigo responder: existem realmente menos falhas no código hoje, ou simplesmente tem menos gente reportando direito? E aqueles 15% de antes eram tão limpos assim, ou parte desse sucesso também vinha inflada por IA mais bem disfarçada que ninguém detectou?

Não sei. E acho que ninguém sabe com certeza.

O que eu sei é que, quando a ferramenta faz o trabalho e ninguém revisa, o output não vale nada. Tanto faz se é um relatório de segurança, uma landing page ou o que quer que você publique.

A IA não se responsabiliza pelo que gera. Isso continua sendo seu.