GNOME zkracuje lhůtu na zveřejnění zranitelností na 30 dní a shání nástupce
Michael Catanzaro oznámil 20. července dvě změny v tom, jak se u GNOME zachází s hlášenými zranitelnostmi. Od 1. srpna se lhůta, po které se chyba zveřejní, zkracuje z devadesáti dnů na třicet. A k 1. listopadu přestane nová hlášení evidovat – dělá to sám od listopadu 2020 a nástupce zatím není. Část přetisků obě změny slila do jedné příčiny, jenže originál je odděluje.
Když někdo najde v programu bezpečnostní chybu, obvykle ji neoznámí rovnou světu. Nahlásí ji autorům a dá jim čas na opravu; teprve po uplynutí lhůty se popis zveřejní, ať už je opraveno, nebo ne. Průmyslovým zvykem je devadesát dnů. GNOME přechází na třicet – u všeho, co někdo nahlásí 1. srpna nebo později. Dřívější hlášení dobíhají po starém.
Oznámil to 20. července Michael Catanzaro z Red Hatu, který evidenci bezpečnostních hlášení GNOME vede od listopadu 2020. Ve stejném příspěvku ale stojí i druhá věc, která je pro projekt podstatnější: k 1. listopadu 2026 s tou prací končí.
Proč zrovna třicet dnů
Důvod není v tom, že by se opravy nestíhaly. Je přesně opačný. Catanzaro píše doslova: „Devadesátidenní lhůta má dát přispěvatelům projektu čas chybu opravit dřív, než se stane veřejnou, jenže v praxi správci většinu té doby nevyužijí“ (přeloženo).
Podle něj se problém typicky opraví do jednoho až tří týdnů od nahlášení – nebo se neopraví vůbec. Co si z toho odvodit, už zdroj nepíše; nabízí se, že opravená chyba zůstává utajená déle, než je potřeba, a u neopravené se čekáním nic nezmění.
Kde se to v přetiscích pokřivilo
Druhá oznámená změna se týká hlášení psaných jazykovými modely. Catanzaro uvádí, že „naprostá většina hlášení o zranitelnostech obsahuje obsah generovaný umělou inteligencí“ (přeloženo), a proto je přestane přeposílat projektům, které takový obsah ve svých hlášeních zakazují – porušoval by tím jejich vlastní pravidla.
To jsou dvě různé změny ze dvou různých důvodů. Server Phoronix je v titulku spojil do jednoho: „GNOME Changes Security Disclosure Policies Due To AI-Generated Reports“. V těle článku je přitom rozlišuje správně – zkrácení lhůty tam zdůvodňuje rychlostí oprav, ne umělou inteligencí. Rozdíl je jen v titulku, a právě ten se čte nejčastěji.
Sám Catanzaro to říká ještě přímočařeji: „Tyto změny politiky záměrně nerozlišují mezi hlášeními, která obsahují obsah generovaný umělou inteligencí, a těmi, která ho neobsahují“ (přeloženo). Nová lhůta tedy platí na všechna hlášení stejně a nic se nezavírá jen proto, že to vypadá na strojový původ. Ostatně dodává, že autoři hlášení použití modelu málokdy přiznají – a že je příjemné nemuset to hádat.
Otázka, co s příspěvky od jazykových modelů, přitom není jen problém GNOME. Debian o ní letos v červenci hlasoval a probíral čtyři návrhy od úplného zákazu po povolení s podmínkami. GNOME volí jinou cestu: pravidla nechává společná pro všechna hlášení a ohled na cizí zákazy řeší tím, že tam hlášení prostě neposílá.
Nejde o slovíčkaření. Z „GNOME zkrátilo lhůtu kvůli AI“ plyne, že projekt na něco reaguje pod tlakem. Z toho, co napsal Catanzaro, plyne něco jiného: lhůta byla celou dobu delší, než k čemu se hodila.
Jeden člověk
Podstatnější než obojí je poslední odstavec oznámení. Catanzaro přestane 1. listopadu evidovat nově hlášené problémy a do 1. prosince chce dořešit ty starší. Hledá někoho zkušeného z komunity, kdo roli převezme; zatím ji nikdo jiný nezastává.
Znamená to, že bezpečnostní evidenci prostředí, které má ve výchozím nastavení většina velkých linuxových distribucí, dělá jeden člověk – a to díky tomu, že mu to zaměstnavatel umožnil. Náš názor: podobně stojí i jiné části otevřené infrastruktury a přijde se na to obvykle až ve chvíli, kdy ten jeden člověk skončí.
Catanzaro k tomu navrhuje i praktickou věc – nahradit dosavadní wiki stránku webovou aplikací, aby evidence nestála na ruční údržbě jednoho seznamu.
Co z toho plyne pro ostatní
Pro uživatele se nemění nic hned. Mění se to pro autory součástí GNOME: po nahlášení chyby mají nově třicet dnů, než se popis zveřejní, ať už opravili, nebo ne.
Zajímavější je precedens. Zkrácení lhůty na třetinu se opírá o pozorování, jak se opravy chovají ve skutečnosti, ne o zvyklost. Jestli má Catanzaro pravdu i u jiných projektů, je devadesátidenní standard z velké části mrtvá lhůta – ale to už je otázka, na kterou tenhle příspěvek odpověď nedává.
Zdroje: blog Michaela Catanzara (20. července 2026), Linuxiac a Phoronix.
