マディ・ストーン

ストーンは2019年にAndroidセキュリティチームからGoogleのProject Zeroに移り、公に知られたゼロデイエクスプロイトのうち実際に悪用が確認されたものを一件ずつ記録し始めた。そのスプレッドシートと毎年の総括は、攻撃者が実際に何を使っているのかについて、逸話ではなくデータという、業界に欠けていたものを与えた。

最もよく引用される指摘は耳が痛い。実際に悪用されたエクスプロイトのかなりの割合が、すでにパッチの当たった脆弱性の変種なのだ。修正は穴を一つ塞いだだけで、バグのクラスそのものは塞いでいなかった。ベンダーへの教訓は、場当たり的なパッチより根本原因の分析と変種の探索が重要だということ、そして攻撃者のほうが多くの防御側よりパッチを丁寧に読んでいるということである。