Технический директор Ledger Charles Guillemet отметил, что искусственный интеллект упростил поиск и эксплуатацию программных ошибок. Он раскритиковал исследователей, которые публикуют данные об уязвимостях до выпуска исправлений, назвав это «фармингом внимания» за счет рисков пользователей.
Guillemet предложил исследователям сообщать об ошибках приватно и согласовывать сроки их устранения. В качестве стандартного срока он привел 90 дней, однако этот период может меняться в зависимости от критичности уязвимости и сложности необходимых работ.
Глава службы безопасности Trezor Jan Komárek подчеркнул, что 90-дневный срок является обязательством вендора перед исследователем. Он призвал экспертов сначала обращаться в компанию и согласовывать график, но публиковать данные в любом случае, если исправление не будет выпущено вовремя.
Призыв к ответственному раскрытию последовал за крупными инцидентами в секторе аппаратных кошельков. Речь идет о кражах из Coldcard на сумму более $100 млн и утечке данных у логистического партнера Trezor, в результате которой раскрылась личная информация десятков тысяч клиентов.