وقتی یک محقق امنیتی آسیب‌پذیری جدیدی کشف می‌کند، با یک تصمیم غیر بدیهی روبه‌رو می‌شود: این اطلاعات را چه زمانی، به چه کسی، و چگونه افشا کند؟ این تصمیم، ظاهراً فنی، در واقع در تقاطع اقتصاد، اخلاق، و مدیریت ریسک قرار دارد و پاسخ «درست» آن به‌شدت به زمینه بستگی دارد.
افشای کامل (Full Disclosure)
در این سیاست، محقق جزئیات کامل آسیب‌پذیری — گاه همراه با کد اثبات مفهوم (PoC) — را بلافاصله و به‌صورت عمومی منتشر می‌کند، بدون اطلاع قبلی به فروشنده. استدلال تاریخی طرفداران این رویکرد (که به جنبش «فول-دیسکلوژر» دهه‌ی ۱۹۹۰ برمی‌گردد) این است که تنها فشار عمومی فوری، فروشندگانی را که تمایلی به رفع مشکل ندارند، وادار به اقدام می‌کند. هزینه‌ی این رویکرد آشکار است: فاصله‌ی زمانی بین افشا و انتشار پچ، یک «پنجره‌ی آسیب‌پذیری روز-صفر عمومی» ایجاد می‌کند که مهاجمان می‌توانند از آن بلافاصله سوءاستفاده کنند.
افشای هماهنگ/مسئولانه (Coordinated/Responsible Disclosure)
در این مدل، که امروز استاندارد صنعتی غالب است، محقق ابتدا به‌صورت خصوصی به فروشنده اطلاع می‌دهد و مهلت مشخصی (معمولاً ۹۰ روز، طبق استاندارد رایج Google Project Zero) برای رفع مشکل می‌دهد؛ افشای عمومی تنها پس از انتشار پچ یا پایان مهلت رخ می‌دهد. این مدل ریسک بهره‌برداری فعال را به حداقل می‌رساند، اما یک مسئله‌ی اقتصادی جدی ایجاد می‌کند: انگیزه‌ی فروشنده برای رعایت مهلت چیست، اگر رفع باگ هزینه‌بر و اولویت پایینی نسبت به توسعه‌ی ویژگی‌های جدید داشته باشد؟ تاریخ افشای آسیب‌پذیری پر از مواردی است که فروشندگان مهلت ۹۰ روزه را نادیده گرفته‌اند تا زمانی که افشای عمومی، فشار رسانه‌ای واقعی ایجاد کرد.
بازار باگ بانتی: راه‌حل اقتصادی
برنامه‌های باگ بانتی (مانند HackerOne و Bugcrowd) این مسئله را با معرفی یک انگیزه‌ی اقتصادی مستقیم حل می‌کنند: محقق برای گزارش مسئولانه، پاداش مالی دریافت می‌کند. این مدل یک بازار دوطرفه ایجاد می‌کند که در آن، ارزش یک آسیب‌پذیری (بر اساس شدت و دسترس‌پذیری هدف) قیمت‌گذاری می‌شود. اما این بازار خودش یک مشکل اقتصادی جدید می‌سازد: بازار سیاه آسیب‌پذیری‌های روز-صفر (که توسط کارگزارانی مانند Zerodium اداره می‌شود) اغلب قیمت‌های به‌مراتب بالاتری نسبت به باگ بانتی‌های رسمی پیشنهاد می‌دهد، به‌خصوص برای آسیب‌پذیری‌هایی که کاربرد نظارتی یا نظامی دارند. این ایجاد یک «رقابت قیمتی» می‌کند که در آن، برنامه‌های باگ بانتی قانونی باید با بازیگرانی رقابت کنند که انگیزه‌ی کاملاً متفاوتی — بهره‌برداری به‌جای رفع — دارند.
چرا این یک مسئله‌ی صرفاً فنی نیست
انتخاب سیاست افشا، در نهایت یک مسئله‌ی موازنه‌ی ریسک است: ریسک بهره‌برداری فعال در برابر ریسک بی‌تفاوتی فروشنده، در برابر انگیزه‌ی اقتصادی محقق. هیچ سیاست واحدی برای همه‌ی زمینه‌ها بهینه نیست — آسیب‌پذیری در یک دستگاه پزشکی متصل به بیمار، ملاحظات کاملاً متفاوتی نسبت به یک باگ در یک وبلاگ شخصی دارد.
جمع‌بندی
افشای آسیب‌پذیری، یک تصمیم چندبعدی است که در آن، درک صرفاً فنی از یک باگ کافی نیست؛ محقق امنیتی مسئول باید به مشوق‌های اقتصادی همه‌ی بازیگران درگیر — فروشنده، کاربران نهایی، و بازار سیاه رقیب — آگاه باشد.