根据我的经验，这归结于项目管理和组织结构的问题。公司会雇佣一个“安全团队”，把他们放在security@邮箱后面，然后决定他们稍后会想办法处理问题。当一个问题出现时，安全团队会尝试将安全问题转发给负责该项目的团队以便修复。这时复杂的组织结构和困难的激励机制可能会造成阻碍。根据公司不同，确定哪个团队实际拥有包含漏洞的代码可能非常困难。我曾共事过的许多安全团队成员都很聪明，但并不是以软件开发为职业的。因此，他们开始尝试在组织结构图中寻找能够修复问题的人。这可能需要数周的死胡同和“我直到下周二下午3:30才有空，我们那时安排会议吧”的拖延。即使你找到了正确的团队，也可能会很难让他们安排修复。…
源讨论逆向工程一个价值10亿美元的法律AI工具暴露了10万+机密文件原帖 288 条评论 · 导入时统计我总是对处理和修复这些明显的安全漏洞需要这么长时间感到有点惊讶。2025年10月27日披露，2025年11月4日电子邮件确认，这似乎太长了，他们的整个客户端文件系统暴露了。当然，实际的错误最终被（我认为）一个小时内修复，加上QA测试的时间以确保它不会破坏任何东西。 问题是不是人们没有检查他们的security@电子邮件地址？人们在度假？这些邮件收到太多垃圾邮件，真的很难区分噪音和合法的信号？我真心好奇。
完整原文把你的经验，加入这段讨论。
天啊，这真的太对了。在这种组织里，通过非正式渠道解决问题需要巨大的政治努力（即使是一个像你的客户数据库对全世界暴露这样的关键问题）。
完整原文> 我曾共事过的很多安全团队成员都很聪明，但并不是以软件开发为职业。 很多人根本不会编程，也不会管理——他们只是填表格和勾选框，可能来自某种自动化套件。他们不知道HTTP和HTTPS是什么，因为他们只是纸上谈兵，离真正的安全相距甚远，更像是有名无实的安全。 而且他们之所以从事这份工作，是因为薪水不错。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。