开源维护者曾将漏洞报告视为特殊义务，需快速响应并致谢报告者，因其提供保密协助。但如今这种模式已不再特殊，维护者应像对待普通反馈一样，自由决定是否采纳。

作为开源维护者，我曾长期认为漏洞报告具有特殊性：安全研究人员私下报告问题是对我们的帮助，因此我们应给予快速响应和署名致谢作为回报。这种观念源于研究人员提供的洞察力和保密性对保护用户安全至关重要。

然而到了2026年，情况已发生根本变化。大语言模型（LLM）的能力已接近甚至超越大多数安全研究人员，任何人都能使用它们——包括维护者和攻击者。洞察力不再稀缺珍贵，真正的瓶颈已从发现潜在问题转变为评估哪些问题真实存在。外部研究人员难以有效参与这一筛选过程，而LLM输出与安全邮箱的筛选工作信噪比几乎相同。

保密性和协调机制的重要性也大幅下降。攻击者无需阅读公开披露就能了解漏洞，他们可以自行询问LLM，甚至可能面临与防御者相同的筛选瓶颈。

因此，漏洞报告的特殊时代可能已经终结。当前的核心工作是筛选、快速修复和预防。我们或许都应该思考如何在持续集成中运行LLM分析。

评论总结

核心观点：漏洞报告是否“特殊”？

观点一：漏洞报告不再特殊，因AI导致大量低质量报告泛滥

• 支持者：themanmaran、woodruffw、fastball、jerrythegerbil
• 论据：AI生成的“漏洞报告”多为低质量、无实际影响的垃圾信息（如CSS问题），导致维护者难以筛选真正有价值的报告。fastball指出，即使没有AI，脚本小子也常发送虚假报告。
• 关键引用：
  • themanmaran: "I get 2-5 unsolicited 'vulnerability reports' per week. Half of them are an LLM finding some bad CSS..."
  • woodruffw: "I triage well over a dozen reports a week, many of which are 'real'... but the volume means that I now lean much more heavily away from coordinated disclosure."

观点二：漏洞报告从未特殊，真正特殊的是“沟通与影响”

• 支持者：jerrythegerbil、fastball、naturalmovement
• 论据：漏洞报告本身只是发现问题的第一步，真正有价值的是清晰、负责任的沟通和协作。naturalmovement引用Linus Torvalds的观点，认为安全漏洞并不比普通bug更重要。
• 关键引用：
  • jerrythegerbil: "Vulnerability reports were never special. The demonstration of security impact through vulnerability reports was special."
  • naturalmovement: "Linus Torvalds once went on record saying security vulnerabilities are no more important than regular bugs."

观点三：漏洞报告仍应特殊，但需区分质量

• 支持者：david_shaw、zeveb
• 论据：真正严重、可被利用的漏洞依然需要特殊处理。但维护者应基于报告质量而非来源（如是否违反CoC）来回应。david_shaw认为，AI只是让“容易发现的漏洞”变多，但核心问题仍是资源分配。
• 关键引用：
  • david_shaw: "if someone discovers a critical, exploitable vulnerability... the impact and tradeoffs are exactly the same as they were before LLMs started finding bugs."
  • zeveb: "You triage and fix the vulnerability just like any other one. Are truths spoken by folks one dislikes... any less true?"

观点四：当前状况是暂时的，未来会回归正常

• 支持者：skybrian、socalgal2、david_shaw
• 论据：AI正在快速发现并修复大量浅层漏洞，当这些漏洞被清理后，漏洞报告将重新变得稀有和特殊。同时，AI也能帮助在开发阶段预防漏洞。
• 关键引用：
  • skybrian: "After all the easy-to-find bugs have fixed... perhaps security issues will deserve special treatment again."
  • socalgal2: "LLMs are finding all the bugs. LLMs are also help fixing most of the bugs... the stream of bug reports will die down."

其他重要观点

• 工程问题而非模型问题（cadamsdotcom）：真正解决安全问题需要计算机科学研究（如内存安全语言、TOCTOU检查），而非依赖AI模型。
• 激励问题（bawolff）：漏洞报告领域存在激励错位——报告者期望对低风险漏洞获得与高风险漏洞相同的待遇。
• 开源社区态度（naturalmovement）：维护者傲慢、忽视社区贡献，导致有能力的贡献者流失。

平衡性总结

评论呈现明显分歧：一方认为AI导致漏洞报告“贬值”，另一方认为漏洞报告从未真正“特殊”。中间立场认为，当前混乱是暂时的，未来会因漏洞减少而回归正常。多数评论者同意，真正的问题在于沟通质量和资源分配，而非漏洞本身。