人々が正しい行動をすることを期待するのが根本的な問題ですね。すべての脆弱性がプライベートに開示されることを期待するなんて、なぜそんなことを？実際にそうするインセンティブはほとんどありません。これを防ぐためにどんなシステムが必要かは正直分かりませんが、常に人々が正しいことをすることを期待するのはファンタジーレベルの考えです。開示者たちも自分たちが正しいことをしていると思っていたでしょうから、そこに頼るのは良くないことですね。追記：スペル/文法の修正。

この開示はセキュリティよりもマーケティングに関するものだったね。開示ページから: > あなたのソフトウェアはAI時代に安全ですか？ > コピー失敗は、Linuxの暗号/サブシステムに対して約1時間のスキャン時間でXint Codeによって明らかにされた。 [...] > [Xint Codeを試してみて] もっと混乱があれば、彼らの製品がさらに魅力的に見えるよね。

修正が出る前に世界にエクスプロイトを共有するのは、非常に無責任だった。これは明らかにXint Codeを宣伝するためのマーケティングのスタントだよ。俺は絶対にXint Codeを使わないし、みんなにも使わないように勧める。そこにいる人たちへ: 15分の名声を楽しんでね、これが逆効果になることを願ってる。

どれだけの攻撃者がこの脆弱性を見つけて、研究が見つける前にすでに使っていたのか、誰がわかるんだろう？

Linuxカーネルはセキュリティの境界として使えないから、「共有ホスティング」をしたい人は、gVisorやfirecracker VMみたいな別のものを使う必要がある。セキュリティの境界として使っている重要なシステムはAndroidだけで、APKにはユーザーの承認が必要だし、厳しいSELinuxやseccompポリシー、GrapheneOSの強化があるから、今回はその対策がうまくいったみたいだね（https://discuss.grapheneos.org/d/35110-grapheneos-is-protect...）。

まあ、これは大惨事だね。配布元が修正を出す前に、世界にその脆弱性を共有するのは非常に無責任だった。何十億も稼いでる企業が、重要な脆弱性の報告に対してほんの少しの報酬しか払わないのが原因かもね…。

非常に無責任だった。ユーザーとして、管理者として、私は同意しないな。「責任ある」開示って、まるで「セキュア」ブートみたいに、企業や財団の中間業者のための評判管理のためのものだと思う。彼らは私のコンピュータが脆弱であることには興味がないけど、「RHELが脆弱だ」とか「Ubuntuが脆弱だ」と言われることには気を使ってる。脆弱性はどちらにしても存在するし、修正に驚かされるよりも、リスクを最小限に抑えるために知るチャンスがある方がいい。私にとって、即時の公開開示が無責任でない唯一の選択肢だよ。

開示のメカニズムについて立場を取らずに言うと、これでハッキングされたホスティングプロバイダーは、すでに負けるつもりでやってたんだよね。信頼できないテナントのワークロードを単一の共有カーネルの下で動かすのはダメだよ。カーネルのLPEは珍しくないし、これは特にシンプルでポータブルなものだったけど、根本的な能力はCNEのコモディティだよ。

まあ、これは大惨事だね。配布元が修正を出す前に、世界にその脆弱性を共有するのは非常に無責任だった。どれだけの共有ホスティングプロバイダーがこれでハッキングされたか分からない。ソフトウェアセキュリティに対して私たちがどれだけ注意を払っていないかが無責任かもしれない。もしかしたら、あらゆる種類のソフトウェア開発者は、全く新機能を開発するのではなく、30年分の技術的負債を解消するために1年を費やすべきかもね。そう聞くと革命的に思えるけど、AIエージェントでこの規模のカーネルバグを見つけるのが簡単な時代に、代替案は見当たらないよ。

この回避策は、影響を受けたコードがモジュールとしてコンパイルされたカーネルにのみ適用されます。RHEL、Fedora、Gentoo（私たちは修正されたFedoraの設定を使っています）は、すべてこれを直接ビルドするように設定されています。パッチや設定変更がない限り（サムがGentooで示唆していたように）、これらの配布は脆弱なままです。