如何看待中国阿里云安全团队在Web服务器软件Apache下的开源日志组件Log4j内发现的巨大漏洞？ 第1页

开源软件出问题，肯定要告诉 Log4j2开发者然后让他们升级维护啊，阿里工程师没有第一时间报备工信部可能是觉得这只是技术层面的问题，内部解决好就行，还是缺乏一点zz敏感性，所以工信部也给了阿里暂停合作的小惩戒，算是让阿里提高警惕吧。我相信未来双方还会继续合作的，毕竟阿里的技术能为维护国内网络安全提供强有力的支撑。

就开发人员本身来说，能在全球范围内首先发现这种bug，在行业内绝对算得上是一件了不起的事情了，但技术上的卓越思维毁在了处理问题上的一根筋，这个发现漏洞的开发人员第一反应是报给开源项目部门，这本身是行规没什么问题，可问题是没有想到这个漏洞影响这么大，低估了潜在的威胁，没有合规报告，这个失误相关人员得后悔死了，希望阿里的工作人员以后在精练技术的同时，也提高一些新规章制度的学习，这次整改的处罚不亏。

城市大脑是阿里的。

既然有bug，不修复，不通知甲方。这样的乙方算是严重违反合同了吧。

建议对城市大脑的合同进行倒查。如果处罚条款不足以弥补甲方损失，应该处罚招标官员。

否则，就按照合同处罚。按照政府招标惯例，造成严重损失的，应该禁止下一期次这个公司中标的。至少三年。