דיווחי פגיעוּת אינם מיוחדים יותר

במשך שנים לימדו מתחזקי קוד פתוח להתייחס לכל issue, pull request ומשוב כאל מתנה ולא כאל חובה. היוצא מן הכלל היה דיווחי פגיעוּת: חוקר שמדווח על בעיה בחסות ולא מפרסם אותה עושה לפרויקט טובה, ולכן מצופה מהמתחזק להגיב במהירות, לחקור ולתת קרדיט על הגילוי.

מדוע הכלל הזה היה קיים

בפוסט שפורסם ב-23 ביוני 2026, פיליפו ולסורדה — מתחזק אבטחה ותיק של Go, לשעבר ראש צוות האבטחה של Go בגוגל וכיום חבר בקולקטיב Geomys של מתחזקי Go מקצועיים — נזכר שהסביר בדיוק את ההבחנה הזו לעובדים חדשים. הסיבה מעולם לא הייתה שהחוקרים עצמם מיוחדים: מה שהיה נדיר הוא התובנה שלהם והסודיות הזמנית שנדרשה כדי לשחרר תיקון לפני שתוקף ישחרר ניצול.

הנחה זו כבר אינה נכונה, הוא טוען. מודלים לשוניים גדולים "טובים כמעט כמו כל חוקר אבטחה", וכל אחד יכול להריץ אותם — גם המתחזקים וגם התוקפים.

צוואר הבקבוק עבר למיון

אם כל אחד יכול להפיק רשימה סבירה של באגים, המשאב הנדיר אינו הגילוי אלא ההכרעה אילו ממצאים אמיתיים. בלי יחסי אמון קיימים, חוקר חיצוני אינו יכול לתרום משמעותית למיון הזה, כותב ולסורדה, וקריאה של פלט של מודל דומה ביחס אות לרעש לקריאה של תיבת דואר אבטחה.

מאותה סיבה מאבדים סודיות והסגר חלק גדול ממשקלם: תוקף לא צריך לקרוא פוסט גילוי מלא כדי ללמוד על פגיעוּת כשאפשר לשאול מודל משלו, וסביר שהוא מתמודד עם אותו עומס מיון כמו המגנים. בדיון ההמשך הוא מוסיף שהוא ממיין יותר מתריסר דיווחים בשבוע, ורבים מהם פגמים אמיתיים שהשפעתם על משתמש רגיל אינה ברורה.

מה נשאר למתחזקים

מסקנתו של ולסורדה היא שמיון, תיקון מהיר ומניעה הם עכשיו לב העבודה, ושפרויקטים צריכים לשקול הרצת ניתוח מבוסס מודלים ב-CI. הפוסט עורר גם הסכמה וגם התנגדות: מגיבים טענו שדיווחים חמורים במיוחד ודיווחים מחוקרים מהימנים יישארו מיוחדים, ושהמשימה הבאה של צוותי אבטחה תהיה לסווג דיווחים במהירות לשני הסלים האלה. ולסורדה מזכיר גם את ההקשר הרחב — השהיה בת חודש של curl בקבלת דיווחי פגיעוּת — ומודה שבזמן הכתיבה לא הייתה לו הצדקה לכך שטיפול בדיווחים הוא הדרך הטובה ביותר להשקיע זמן בהגנה על משתמשים.