Il progetto GNOME ha annunciato un importante cambiamento nella propria politica di gestione delle vulnerabilità di sicurezza. A partire dal 1° agosto 2026, tutte le nuove segnalazioni seguiranno una finestra di riservatezza di 30 giorni, abbandonando il precedente limite di 90 giorni.
La decisione arriva dopo un’analisi del funzionamento dell’attuale procedura e tiene conto di un fenomeno sempre più diffuso: l’aumento delle segnalazioni realizzate con il supporto dell’intelligenza artificiale. Secondo il coordinatore della sicurezza di GNOME, Michael Catanzaro, il vecchio intervallo di tre mesi non offre più benefici concreti e prolunga inutilmente il periodo durante il quale le informazioni rimangono riservate.
Perché GNOME cambia la politica di divulgazione
Fino a oggi il progetto manteneva confidenziali le vulnerabilità per un massimo di 90 giorni, concedendo agli sviluppatori il tempo necessario per preparare e distribuire le correzioni prima della pubblicazione dei dettagli.
L’esperienza maturata negli ultimi anni ha però evidenziato un andamento piuttosto chiaro. Nella maggior parte dei casi gli sviluppatori risolvono i problemi entro una o tre settimane oppure non riescono a intervenire prima della scadenza dei 90 giorni. Di conseguenza, mantenere il periodo di riservatezza così lungo non produce vantaggi significativi.
GNOME ha valutato anche una soluzione adottata da altri progetti open source, che consiste nel rendere immediatamente pubbliche le segnalazioni sospettate di essere generate con strumenti di intelligenza artificiale. Questa possibilità è stata però esclusa perché rischierebbe di aumentare la pressione sui manutentori dei pacchetti e non rispecchierebbe il modello organizzativo seguito dal progetto.
Con la nuova politica ogni segnalazione verrà resa pubblica entro 30 giorni, salvo che la correzione venga completata prima della scadenza. Quando necessario sarà inoltre richiesto un identificativo CVE per catalogare ufficialmente la vulnerabilità.
Impatto delle segnalazioni generate con l’IA e ricerca di un nuovo coordinatore
La nuova procedura sarà applicata indistintamente a tutte le vulnerabilità, indipendentemente dal fatto che siano state individuate con o senza strumenti di intelligenza artificiale.
Secondo Catanzaro, infatti, gli autori delle segnalazioni dichiarano raramente l’utilizzo dell’IA e tentare di identificarne manualmente l’origine renderebbe il processo più complesso senza offrire reali vantaggi. Inoltre, le vulnerabilità individuate esclusivamente tramite analisi manuale stanno diventando sempre meno frequenti.
Un’altra modifica riguarda i progetti collegati a GNOME che non accettano contributi generati con l’intelligenza artificiale. In questi casi le segnalazioni non verranno più inoltrate automaticamente ai rispettivi sistemi di tracciamento. Saranno invece chiuse nel tracker centrale della sicurezza di GNOME, mentre i manutentori riceveranno una notifica della loro esistenza. I progetti interessati potranno comunque continuare a ricevere direttamente queste segnalazioni aggiungendo un’eccezione specifica per le vulnerabilità di sicurezza nelle proprie politiche sui contenuti generati dall’IA.
L’annuncio coincide anche con un importante cambiamento organizzativo. Michael Catanzaro, che coordina il monitoraggio della sicurezza di GNOME dal novembre 2020 con il supporto di Red Hat, interromperà questa attività dal 1° novembre 2026. Durante il mese di novembre seguirà esclusivamente le segnalazioni già aperte, così da completarne la gestione entro la scadenza prevista.
Attualmente il progetto non dispone ancora di un successore per questo ruolo. GNOME è quindi alla ricerca di un membro esperto della comunità che possa occuparsi del monitoraggio delle vulnerabilità, del coordinamento delle divulgazioni pubbliche e della richiesta dei relativi identificativi CVE, garantendo continuità a un’attività fondamentale per la sicurezza dell’intero progetto.
Fonte: Phoronix
