curl, la herramienta y biblioteca de código abierto que gestiona transferencias de datos en ordenadores, móviles, coches, televisores y consolas de todo el mundo, lleva casi dos años lidiando con una avalancha de informes de vulnerabilidades inventados con inteligencia artificial. La presión ha llevado a su creador y responsable principal, el sueco Daniel Stenberg, a cerrar el programa de recompensas por fallos el 31 de enero de 2026 y a suspender durante todo julio la recepción de informes de seguridad. El caso lo ha vuelto a poner en circulación un artículo de Can Artuc que plantea una pregunta incómoda: quién sostiene el software del que dependen miles de millones de dispositivos.
Las claves de curl y los informes falsos generados con IA en 30 segundos
- El alcance: curl está en entre 20.000 y 40.000 millones de instalaciones según la Real Academia Sueca de Ciencias de la Ingeniería, y en coches de 47 marcas.
- El problema: los informes de seguridad reales pasaron de uno de cada seis a uno de cada 20 o 30, según Stenberg.
- Las medidas: fin de las recompensas en enero de 2026 y pausa de informes del 1 de julio al 3 de agosto.
- La otra cara: herramientas de IA también han ayudado a corregir más de cien fallos reales.
Stenberg tomó en 1996 el mantenimiento de una pequeña herramienta de descarga HTTP llamada httpget, creada por Rafael Sagula, la amplió y la rebautizó como curl en 1998. Desde entonces no ha dejado de mantenerla. Hoy curl forma parte de Windows, macOS, Linux, Android e iOS, y su biblioteca, libcurl, está integrada en aplicaciones, servicios en la nube, consolas y sistemas de los coches. Es el tipo de software que casi nadie ve y del que casi todo depende.
Diez, veinte o cuarenta mil millones de instalaciones
Las cifras de alcance varían según quién las dé. El artículo de Artuc habla de unos 10.000 millones de instalaciones. La Real Academia Sueca de Ciencias de la Ingeniería (IVA), que concedió a Stenberg su medalla de oro en octubre de 2025, eleva la estimación a entre 20.000 y 40.000 millones de instancias, entre ordenadores, teléfonos, coches y otros dispositivos conectados, y cita su uso en servicios como YouTube, Instagram o Spotify y hasta en la comunicación con instrumentos en la Luna y Marte. Ninguna de las dos es un recuento exacto: curl se distribuye libremente y no hay forma de contar cada copia.
El dato de los coches sí tiene origen preciso. En agosto de 2025, Stenberg publicó en su blog una lista de 47 marcas de automóviles que usan curl, entre ellas Audi, BMW, Ford, Mercedes, Tesla, Toyota y Volvo, y estimó que corre en varios cientos de millones de vehículos. En esa misma entrada escribió que ninguna de esas marcas ni de sus proveedores de software patrocinaba curl ni compraba soporte. En los comentarios, dos personas que dicen trabajar en Mercedes-Benz matizaron que la compañía sí había hecho aportaciones a través de GitHub Sponsors, aunque pequeñas.
El reconocimiento público ha llegado en los últimos meses. Además de la medalla de la IVA, Stenberg recibió el premio a Desarrollador del Año en la gala Developers Day, celebrada en Suecia el 12 de septiembre de 2025 y organizada por la empresa Developers Bay. El propio Stenberg aclaró que lo recibió porque alguien le nominó ese año, no por un logro concreto de 2025.
Un «DDoS» de informes inventados
El problema empezó a hacerse visible a finales de 2024 y estalló en 2025. Personas que buscaban cobrar recompensas sin hacer investigación real pedían a un chatbot que encontrara vulnerabilidades en curl y enviaban el resultado: desbordamientos de búfer o corrupciones de memoria descritos con aspecto profesional, pero inexistentes. Cada informe obliga al equipo a comprobarlo, porque un fallo real en curl puede afectar a miles de millones de equipos. En mayo de 2025, Stenberg lo resumió en una frase muy citada: «We are effectively being DDoSed» (en la práctica, nos están haciendo un ataque de denegación de servicio).
En su intervención en FOSDEM 2026, recogida por The New Stack, Stenberg dio cifras: antes de 2025, aproximadamente uno de cada seis informes de seguridad que recibía curl era real; a finales de 2025, la proporción había caído a uno de cada 20 o 30. El programa de recompensas, alojado en HackerOne desde abril de 2019, pagaba hasta 10.000 dólares por un fallo crítico y 500 por uno leve, y Stenberg lo señala como el incentivo que alimentaba el aluvión. El 31 de enero de 2026 lo cerró. En su despedida, citada por LWN, habló de «the mind-numbing AI slop, humans doing worse than ever and the apparent will to poke holes rather than to help» (la basura de IA que embota la mente, humanos que lo hacen peor que nunca y unas aparentes ganas de buscar agujeros en lugar de ayudar), y de que esos envíos «take a serious mental toll to manage» (suponen un serio desgaste mental).
Quitar el dinero no frenó del todo la presión. En junio, Stenberg anunció el «curl summer of bliss»: entre el 1 de julio y el 3 de agosto de 2026, el equipo dejó de aceptar informes de vulnerabilidades por HackerOne y por correo, aunque mantuvo abiertos los issues y las peticiones de cambio en GitHub y el servicio a los clientes de soporte de pago. Justificó la pausa en «a huge pressure for the last four months or so» (una enorme presión durante los últimos cuatro meses). Al terminar, en su balance del 3 de agosto, la calificó de «possibly our best project decision in a long while» (posiblemente nuestra mejor decisión en mucho tiempo): no hizo falta asignar ningún CVE urgente, los clientes de soporte no se vieron afectados y no recibió críticas.
La IA que ensucia y la IA que arregla
Stenberg no rechaza la IA en bloque. En la misma charla de FOSDEM explicó que curl ha corregido más de cien fallos encontrados con herramientas de análisis basadas en IA, pese a llevar años sometido a fuzzing, análisis estático y auditorías, y que el proyecto usa tres bots de revisión con IA en sus peticiones de cambio. La diferencia está en quién la usa y cómo: investigadores que verifican lo que encuentran frente a personas que reenvían sin comprobar lo que genera un chatbot. Sobre los parches escritos por IA sigue siendo escéptico y los compara con los de un programador júnior entusiasta. Es una tendencia más amplia: la IA acelera tanto la búsqueda de vulnerabilidades reales como el ruido.
El artículo de Artuc presenta a Stenberg como el único que mantiene curl, y conviene matizarlo. Stenberg revisa casi todo el código y marca la dirección del proyecto, pero curl tiene un equipo de seguridad de siete personas, una decena de colaboradores habituales y cientos de contribuyentes a lo largo de su historia. Además, su trabajo en curl lo financia wolfSSL, la empresa en la que trabaja, y el proyecto ofrece contratos de soporte de pago. Lo que sí sostiene el artículo, y coincide con lo que escribe el propio Stenberg, es que la adopción masiva por grandes empresas apenas se traduce en financiación, y que la dependencia de una persona clave es un riesgo para la cadena de suministro de software. Artuc propone tres cambios: que las empresas financien de forma estable lo que usan, que las plataformas detecten los informes generados con IA y que las auditorías de software incluyan la sostenibilidad de los mantenedores como riesgo.
Preguntas frecuentes
¿Qué es curl?
Una herramienta de línea de comandos y una biblioteca de código abierto para transferir datos por internet. Está integrada en sistemas operativos, aplicaciones, coches y consolas.
¿Por qué cerró curl su programa de recompensas?
Por la avalancha de informes de vulnerabilidades falsos generados con IA. Stenberg lo cerró el 31 de enero de 2026 para quitar el incentivo económico a esos envíos.
¿En cuántos dispositivos está curl?
No hay un recuento exacto. Las estimaciones van de unos 10.000 millones a entre 20.000 y 40.000 millones de instalaciones, según la Real Academia Sueca de Ciencias de la Ingeniería.
¿Mantiene Daniel Stenberg curl en solitario?
No del todo. Es su creador y responsable principal, pero el proyecto tiene un equipo de seguridad de siete personas y colaboradores habituales. Su trabajo lo financia wolfSSL.
Fuentes:
- Can Artuc: 10 Billion Devices Run His Code. He Maintains It Alone. Now AI is Attacking Him
- Daniel Stenberg: curl summer of bliss
- Daniel Stenberg: What the bliss taught us
- Daniel Stenberg: car brands running curl
- LWN: The end of the curl bug-bounty program
- The New Stack: AI is DDoSing open source and fixing its bugs
- IVA: medalla de oro 2025 a Daniel Stenberg
- The Register: Curl shutters bug bounty program
