Luki bezpieczeństwa w projektach open source są teraz atakowane w ciągu minut od momentu, gdy informacja o nich zostanie ujawniona publicznie. Anil Madhavapeddy, profesor informatyki na Uniwersytecie Cambridge i główny maintainer kompilatora OCaml, opublikował alarm: zaledwie dziesięć minut po umieszczeniu poprawki na publicznym repozytorium jego strona zaczęła otrzymywać sondy szukające procentowo zakodowanych sekwencji traversalowych. To odkrycie wskazuje, że zautomatyzowane narzędzia monitorują repozytoria w real-time.
Nowoczesne coding agenty stały się na tyle zaawansowane, że samą plotkę o bugu potrafią wykorzystać do jego znalezienia i eksploatacji. Madhavapeddy wykazał to praktycznie, używając swoich własnych agentów - kiedy Claude Fable odmówił współpracy, przełączył się na DeepSeek V4 Pro i udało mu się znaleźć exploit. Zjawisko to jest szczególnie alarmujące dla ekosystemu open source, gdzie tradycyjnie istniały okresy embargo na ujawnianie podatności, zazwyczaj trwające kilka dni do dwóch tygodni.
Problema skala wynosi naprawdę duża. Nick Craig-Wood, maintainer popularznego narzędzia rclone, potwierdził w komentarzach na Hacker News, że jego projekt zanotował dramatyczny wzrost zgłoszeń bezpieczeństwa - z około 20 w ciągu pierwszych dziesięciu lat do ponad 40 w samym ostatnim miesiącu. Nawet przy wsparciu narzędzi AI do триажu i generowania poprawek zajmuje to ogromną ilość czasu. Tempo tego zjawiska wymusza pytanie o fundamentalne zmiany w procesach ochrony bezpieczeństwa społeczności programistycznych.