脆弱性報告はもはや特別なものではない

2026年6月23日 脆弱性報告はもはや特別なものではない オープンソースのメンテナーとして公衆の面前で働き続けるために正気を保つには、すべてのイシュー、PR、フィードバックは義務ではなく贈り物であると認識することです。あなたはそれを受け入れることも、無視することも、部分的に利用することも、全く利用しないこともできます。しかし… 長年、当時のGoセキュリティチームのリーダーとして、私は新しいチームメンバーに、それは脆弱性報告には当てはまらないと伝えてきました。いいえ、脆弱性報告は特別です。セキュリティ研究者は、完全開示ではなく機密裏に報告することで私たちに恩恵を与えてくれているので、私たちは彼らに何かを返すべきであり、これはイシュー・トラッカーで開かれる通常のイシューには当てはまりません。2 プロジェクトによってポリシーは異なりますが、一般的な期待は応答性と帰属です。私たちは報告を迅速に確認し、調査し、報告者に状況を伝え、最終的にはその発見を評価することになっています。なぜか？それは、報告者が私たちにサービスを提供しているのであって、私たちがサービスを提供するよう求めているわけではないからです（バグ修正や機能実装など）。応答性と帰属と引き換えに、彼らは貴重な洞察と、攻撃者がエクスプロイトを公開する前に修正を公開するために必要な機密性を提供しています。3 究極的には、これらすべてはユーザーに対する私たちの責任に由来します。セキュリティ研究者は特別ではありません。洞察と機密性が特別であり、ユーザーを安全に保つためにそれらが必要です。セキュリティ報告を無視することは、ユーザーのセキュリティを気にしないというメッセージを伝えることになり、それは当然、恥ずべき理由となります。しかし… 2026年になり、前提条件はどれも真実ではなくなりました。LLMはほとんどのセキュリティ研究者と同じくらい優れており、誰でも4がそれらを動かすことができます。メンテナーも動かせます。攻撃者も動かせます。洞察はもはや希少で貴重なものではありません。現在のボトルネックは、潜在的な問題を見つけることではなく、どれが本物であるかを評価することです。信頼関係がすでに存在しない限り、外部の研究者はそのトリアージプロセスに意味のある貢献をすることはできず、LLMの出力やsecurity@の受信箱を精査することのS/N比はほぼ同じです。 機密性、エンバーゴ、調整も、以前ほど重要ではなくなりました。攻撃者は脆弱性について知るために完全開示の投稿を読む必要はありません。彼らは自分のLLMに尋ねることができますし、実際、彼らも防衛者と同じトリアージのボトルネックを抱えている可能性があります。脆弱性報告が特別であった時代は終わったのかもしれません。どんなに奇妙で不快な5気持ちがしても。今や仕事は、トリアージ、迅速な修正、そしていつものように予防です。そして、私たちは皆、CIでLLM分析を実行する方法を見つけ出すべきだと私は思います。 詳細については、Blueskyで@filippo.abyssdomain.expertを購読またはフォローするか、Mastodonで@filippo@abyssdomain.expertをフォローしてください。 写真 数週間前、毎年恒例のCENTOPASSIに参加しました。これは、綿密な計画、100の座標、3日半で1700kmの二次道路を含むGPS追跡型のオートバイ競技です。いつも私をプーリアのこの廃墟となったボーキサイト鉱山のような素晴らしい場所に連れて行ってくれます。 私の仕事は、プロのGoメンテナー組織であるGeomysによって可能にされています。Geomysは、Ava Labs、Teleport、Datadog、Tailscale、Sentryから資金提供を受けています。彼らとのリテーナー契約を通じて、私たちのオープンソースメンテナンス作業の持続可能性と信頼性を確保し、私の専門知識と他のGeomysメンテナーの専門知識への直接的なルートを得ています。（詳細については、Geomysの発表をご覧ください。） 彼らの何人かからの言葉を以下に紹介します！ Teleport — 過去5年間、攻撃と侵害は、従来のマルウェアやセキュリティ侵害から、ソーシャルエンジニアリング、認証情報の盗難、フィッシングによる有効なユーザーアカウントと認証情報の特定と侵害へとシフトしています。Teleport Identityは、アクセス監視を通じて弱いアクセスパターンを排除し、アクセス要求によって攻撃対象領域を最小限に抑え、必須のアクセスレビューを通じて未使用の権限を削除するように設計されています。 Ava Labs — AvalancheGo（Avalancheネットワークとの対話に最も広く使用されているクライアント）のメンテナーであるAva Labsは、オープンソースの暗号プロトコルの持続可能なメンテナンスと開発が、ブロックチェーン技術の広範な採用に不可欠であると信じています。フィリッポと彼のチームへの継続的な支援を通じて、この必要かつ影響力のある仕事をサポートできることを誇りに思っています。 1 Googleを去るときに有能な手に引き継いだ役割なので、Goプロジェクトのメンテナンスには引き続き関与していますが、この発言はGoセキュリティチームの公式見解ではありません。 2 脆弱性報告の処理と行動規範の強制の交差点では、すぐに事態が複雑になります。行動規範に違反している人物がセキュリティ脆弱性を報告した場合、どうしますか？無視しますか？黙って修正しますか？現実的には、その問題を解決することはできません。それは、その行動がどれほどひどいか、それが個人的なものかコミュニティに影響を与えるものか、そしてsecurity@をサービスするチームメンバーが利用できるリソースに基づいて判断することになります。それは興味深い仕事です。 3 実際に開示慣行には複雑な歴史があり、異なる時代にはセキュリティ問題を報告することは本当に危険でした。善意の研究者はしばしば法的脅威や訴追に直面しました。そのことがいかに非生産的で不合理であるかを業界に内面化させるには、完全開示運動が必要でした。調整された開示（または「責任ある」開示、私が嫌いな道徳的に負荷のかかる言葉）の取引の一部は、研究者を追及しないという、暗黙的または明示的な約束でした。ありがたいことに、その側面は2026年のオープンソースの現実にはほとんど関係ありません。どの研究者もセキュリティ脆弱性を報告することで訴追を恐れることはありませんし、どのプロジェクトも、文書化された報告ポリシーの代替として訴追が検討されることを示唆すべきではありません。 4 まあ、ある程度は。しかし、1～3ヶ月でオープンモデルが追いつくでしょう。 5 ほんの数日前、Geomysのリトリートで、curlの脆弱性報告チャネルの一ヶ月間の停止は行き過ぎだと主張していました。なぜなら、セキュリティ報告を無視することは本能的に間違っていると感じるからです。しかし、この記事を書いている時点では、ユーザーを保護するために脆弱性報告に対応することが最善の方法であるという議論はありません。仕事が実際に何であるかに追いつくために、変わらなければなりません。