Il CTO di Ledger esorta alla responsabilità nella ricerca di bug tramite l’IA e mette in guardia dall’“attention farming”

I produttori di portafogli hardware Ledger e Trezor hanno chiesto una divulgazione più responsabile delle vulnerabilità di sicurezza.

In un post pubblicato lunedì su X, il direttore tecnologico di Ledger Charles Guillemet ha affermato che l’intelligenza artificiale (IA) ha reso più facile trovare e sfruttare i bug. Tuttavia, alcuni ricercatori pubblicano le proprie scoperte prima che siano disponibili correzioni, una pratica che ha definito “attention farming con il rischio di qualcun altro”.

Guillemet ha esortato i ricercatori a segnalare privatamente i bug e a concordare una tempistica per le correzioni prima di pubblicare i dettagli. Ha citato 90 giorni come impostazione predefinita comune, con una certa flessibilità a seconda della gravità della falla e del lavoro necessario per risolverla.

“Novanta giorni sono un impegno del fornitore, non solo del ricercatore”, ha dichiarato a Cointelegraph Jan Komárek, responsabile della sicurezza di Trezor. 

“Ricercatori: venite prima da noi, concordate una tempistica, poi pubblicate tutto e, se non riusciamo a distribuire una correzione entro quella finestra, pubblicate comunque”, ha affermato.

La sicurezza dei portafogli hardware è stata sottoposta a esame dopo che i furti di Coldcard hanno superato i 100 milioni di dollari e una violazione dei dati presso il fornitore di servizi di spedizione di Trezor ha esposto le informazioni personali di decine di migliaia di clienti.

Articolo correlato: Trezor afferma che la violazione dei dati riguarda altri 67.000 clienti statunitensi