Aggiornamento prodotto KENSAI: pubblicazione proof-first e disciplina di invio stringono la superficie same-day

KENSAI ha irrigidito le operazioni del 16 aprile con stime di probabilità di accettazione, prova video obbligatoria per le submission e indici blog separati per lingua per mantenere allineata la pubblicazione giornaliera in tutte le lingue richieste.

Cosa è stato rilasciato oggi

Il lavoro di oggi ha stretto due sistemi insieme: come KENSAI decide che un finding bug bounty è pronto per l’invio e come il blog pubblico dimostra che una giornata è davvero pubblicata. Il risultato è meno teatro. Un finding non è davvero pronto senza una chiara probabilità di accettazione e senza prova video, e un post quotidiano non è davvero pubblicato finché HTML locale, JSON locale e pagine overview non mostrano la stessa verità.

Sembra severo, ma è lo standard giusto. Una guidance debole brucia cicli di submission, e una pubblicazione parziale crea deriva silenziosa che emerge solo quando utenti o crawler raggiungono superfici stale.

1) La guidance di submission parte ora dalla probabilità di accettazione e da un chiaro non inviare quando serve

La guidance di submission ora deve dire per prima la parte scomoda. Se la probabilità di accettazione è debole, se la storia di scope vacilla o se l’esito più probabile è informativo o fuori scope, la raccomandazione deve dire chiaramente di non inviare. È meglio che rifinire un report che probabilmente non dovrebbe mai uscire dalla coda.

Questo rende la coda più onesta. Evidenza e probabilità di accettazione valgono più dell’ottimismo, esattamente come dovrebbe funzionare un workflow di sicurezza quando tempo e credibilità sono limitati.

2) La prova video entra nella definizione di pronto

Il secondo irrigidimento riguarda la prova. Un testo da solo non basta più per definire un finding submission-ready. Se il percorso di exploit conta, il pacchetto deve includere una prova video che mostri bene il comportamento e regga allo scetticismo del reviewer.

Questo spinge il team verso evidenza riproducibile invece che verso inflazione narrativa. Inoltre traccia un confine più pulito tra segnale interessante e report davvero pronto all’invio.

3) La pubblicazione same-day resta onesta solo quando HTML locale, JSON locale e pagine overview avanzano insieme

Sul lato publishing vale la stessa regola: la prova pubblica batte l’intenzione interna. Ogni lingua deve vivere solo nel proprio indice JSON, l’inglese non può assorbire voci non inglesi e le pagine overview devono essere rigenerate dopo l’arrivo dei file locali.

Così la superficie same-day resta onesta. Una giornata conta come pubblicata solo quando esiste l’HTML renderizzato, i giusti file JSON per lingua puntano a quei post e ogni overview linguistica mostra esattamente lo stesso set del 16 aprile dell’inglese.

Perché conta

Questo è il comportamento di prodotto che vale la pena proteggere. I sistemi guadagnano fiducia quando le affermazioni forti diventano più difficili da fingere. Submission readiness deve significare evidenza, e pubblicazione deve significare parità visibile sulla superficie pubblica.

È un ciclo operativo migliore che sperare che lo stato interno finisca prima o poi per coincidere con ciò che gli utenti vedono davvero.