我对负责任的披露应该是什么样子有些矛盾，但在许多情况下似乎满足以下条件：1）这个漏洞很容易被利用；2）它可能造成很大的损害（在大多数情况下会获取PII或其他机密信息）；3）服务停机不会伤害任何人，尤其是与损害的风险相比。但相反，我们并没有坚持立即关闭受影响的服务，而是给公司几周或几个月的时间来修复问题，同时在整个过程中没有通知任何人，继续照常营业。在过去一年里，我向三家不同的公司提交了三个非常简单的漏洞利用方式，幸运的是，他们每次都在大约一周内修复了这些问题。然而，这些漏洞都很简单（我承认自己还没那么厉害能发现更难的漏洞）。大多是IDOR（基于ID的越权访问），比如把id=123456改成id=1，一直到id=123455，然后看到很多不属于我的医疗数据。这三种情况都是医疗实验室，因为我需要做了一些测试，想看看我的数据有多安全。
源讨论逆向工程一个价值10亿美元的法律AI工具暴露了10万+机密文件原帖 288 条评论 · 导入时统计我总是对处理和修复这些明显的安全漏洞需要这么长时间感到有点惊讶。2025年10月27日披露，2025年11月4日电子邮件确认，这似乎太长了，他们的整个客户端文件系统暴露了。当然，实际的错误最终被（我认为）一个小时内修复，加上QA测试的时间以确保它不会破坏任何东西。 问题是不是人们没有检查他们的security@电子邮件地址？人们在度假？这些邮件收到太多垃圾邮件，真的很难区分噪音和合法的信号？我真心好奇。
完整原文把你的经验，加入这段讨论。
> 我想将来我会匿名联系那些有更严格截止日期的公司，如果他们的客户（或其他人）处于严重风险中。我会失去用真名吹嘘的能力，但我会接受的。 你描述的可能是一种犯罪。现实是，大多数企业并不把保护客户数据视为神圣的职责，而只是众多需要在经营过程中管理的风险之一。如果他们能说“我们正在修复它！”他们的屁股可能就会被掩盖，即使有人先利用了这个漏洞——最坏的情况下，他们只是支付一笔罚款然后继续前进。
完整原文不要这样做。 我理解你认为你在做正确的事，但要注意，通过关闭医疗通讯服务，可能会有相当大的可能性导致有人因为检测结果延迟而死亡。 你的责任是负责任地披露。 他们的责任是处理这个问题的方式。不要替他们做决定。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。