Anil Madhavapeddy, Informatikprofessor an der Universität Cambridge und Core-Maintainer des OCaml-Compilers, beschreibt in seinem Beitrag ein sich zuspitzendes Problem: Sobald ein Sicherheitspatch auch nur zur Diskussion geteilt wird – ohne offiziellen Release –, beginnen automatisierte Systeme innerhalb von Minuten mit aktiven Exploit-Versuchen. In seinem konkreten Fall registrierte sein Server bereits etwa zehn Minuten nach der Patch-Diskussion Probes auf percent-kodierte Path-Traversal-Sequenzen. Madhavapeddy konnte dasselbe Verhalten mit eigenen KI-Agenten nachstellen; dabei wechselte er auf DeepSeek V4 Pro, nachdem Claude Fable den Auftrag verweigerte. Nick Craig-Wood, Maintainer des weit verbreiteten Cloud-Sync-Tools rclone, bestätigt den Trend in den Hacker-News-Kommentaren mit konkreten Zahlen: In den ersten zehn Jahren des Projekts gingen rund 20 Security-Disclosures ein – allein im vergangenen Monat waren es über 40. Etwa 75 Prozent dieser Meldungen enthielten laut Craig-Wood tatsächlich einen relevanten Befund. Die gestiegene Last trifft auch GitHub selbst: CVE-Zuteilungen, die früher zwei bis drei Tage dauerten, benötigen inzwischen drei bis vier Wochen, was dazu führt, dass Releases mit dem Platzhalter „CVE-PENDING" veröffentlicht werden müssen. Willison und Madhavapeddy ziehen den Schluss, dass bestehende Open-Source-Embargo-Prozesse – die typischerweise eine koordinierte Offenlegung über mehrere Tage hinweg vorsehen – mit dieser neuen Angriffsgeschwindigkeit grundlegend unvereinbar sind.