Tech

You can criminalize the messenger. The bug doesn't care.

June 23, 2026 · Paul Graham, Hackers & Painters~5 min read

In May 2026, someone calling themselves Nightmare Eclipse dropped six Windows zero-days online — working exploit code included, no warning to Microsoft. Microsoft's answer wasn't only a patch. It was a threat of criminal prosecution. And here is the thing both sides keep walking past: the prosecution decides who gets punished. It does not decide whether the holes are still there. They are.

What actually happened, with the ugly parts left in

Let's not flatten this into a hero story. Nightmare Eclipse published flaws in core Windows products — including Defender, Microsoft's own antivirus engine, and the disk-encryption tool BitLocker — and named them BlueHammer, RedSun, UnDefend, and YellowKey. The disclosure was uncoordinated: no quiet window for Microsoft to ship a fix first. By Microsoft's account, three of those bugs were already being used in real attacks before any patch existed. That is a real cost, paid by real people, and pretending otherwise would be dishonest.

The researcher tells a different origin story: they say they tried to work with Microsoft first, got mistreated, had their MSRC reporting account revoked, and were stiffed on a bounty. Both things can be true at once — that the channel failed them, and that dumping live exploits on the open web put users in front of a moving car. The interesting question isn't who's the angel. It's what Microsoft reached for when it got angry.

Microsoft reached for the prosecutor

On May 28, Microsoft's Digital Crimes Unit threatened the researcher with criminal investigation. The next day it published a blog post scolding them for "irresponsible disclosure" and endangering users. The security world did not nod along. Katie Moussouris — the person who built Microsoft's own bug-bounty program — said plainly that the predictable result is fewer people reporting bugs, which makes all of us less safe. Within days Microsoft walked it back: it had "no intention to pursue action against individuals conducting or publishing their security research." The threat was withdrawn. But the chilling signal had already been sent, and you can't fully un-send a signal like that.

A bug is a true thing about the world

Paul Graham, in Hackers & Painters, has an essay called "What You Can't Say." His point is that every era has heresies — statements that are true but get you punished for saying them — and that the punishment is aimed at the speaker, never at the truth. A vulnerability is exactly this kind of statement. BlueHammer isn't an opinion Nightmare Eclipse holds about Windows. It's a fact about Windows: under these conditions, the system can be made to do something it shouldn't. The exploit is just the sentence that says it out loud.

So watch what a prosecution can and can't touch. You can revoke an account. You can name a person in a blog post, sic a Digital Crimes Unit on them, make an example. What you cannot do, with any of that, is reach into the binary and close the hole. The truth the researcher uttered stays true after they're silenced. The attackers who were already using three of those bugs do not need the researcher's permission, or yours, to keep using them. Punish the messenger all you want; the message was about the world, and the world didn't change.

A vulnerability is a true fact about a system, and prosecuting the researcher who discloses it (as Microsoft threatened over the Nightmare Eclipse Windows zero-days, May 2026, before walking it back) changes who gets punished, not whether the bug exists. The incentive runs one way: punish reporting, get fewer reports and a less-safe system. Framework: Paul Graham, Hackers & Painters, "What You Can't Say." Popular-science interpretation.

Why this optimizes for silence, not safety

Graham's other half — the one that keeps this from being a free pass for recklessness — is that knowing a forbidden truth and broadcasting it to a mob are different acts. He's almost paranoid about how you say a dangerous thing: to whom, in what room, with what timing. That's coordinated disclosure in a nutshell. Tell the vendor, give them a window, then go loud. Nightmare Eclipse skipped the careful part and handed live ammunition to whoever was watching. Graham would not applaud that. The friction is real on both sides.

But here's the asymmetry that should decide it. When a vendor punishes the careless reporter, the next ten careful reporters watch and learn — and the lesson they take isn't "disclose more carefully." It's "don't pick up the phone at all." Moussouris's warning is just incentive design said out loud: the move you most reward is the move you get more of, and the move you most punish is the move you get less of. Criminalize the act of telling, and you don't get safer disclosure. You get a researcher who finds the next BlueHammer, thinks about a Digital Crimes Unit, and quietly closes the tab. The bug stays. Now nobody's looking at it but the attackers.

What this means for you

You don't run MSRC, but you run the same play in miniature every week. The intern who flags that the deploy script has been silently corrupting data for a month. The teammate who says the architecture everyone praised has a hole in it. The tester whose bug report makes the demo look bad two days before launch. Every one of them is a Nightmare Eclipse on your team — a person handing you a true, unwelcome fact about something you own. And the cheapest reflex in the world is to shoot them: kill the message by making the messenger regret it. Graham's hacker ethic cuts the other way. Care whether a thing is right, not whether saying so is welcome. The person who tells you where you're broken is the single contributor you can least afford to teach to stay quiet — because the brokenness, like the bug, was never in their report. It was already in you. They just said it out loud.

Punishing the report doesn't fix what it found

Silence the messenger and the vulnerability stays exactly where it was — only now nobody's pointing at it but the people exploiting it.

Framework drawn from Paul Graham's Hackers & Painters, especially the essay "What You Can't Say." Reporting from TechCrunch (May 29, 2026), The Record, Microsoft's own MSRC blog, and the wider security-community response (including Katie Moussouris). A popular-science interpretation — not security or legal advice; intellectual property belongs to the original author.

技术

你可以把报信人定成罪。漏洞不在乎。

2026年6月23日 · 保罗·格雷厄姆《黑客与画家》约 5 分钟

2026 年 5 月，一个自称 Nightmare Eclipse 的人在网上一口气放出 6 个 Windows 零日漏洞——附带能跑的利用代码，没给微软任何提前通知。微软的回应不只是补丁，还有一句刑事起诉的威胁。可有件事双方都绕着走：起诉决定的是谁挨罚，决定不了那些窟窿还在不在。它们还在。

把难看的部分留着，说清到底发生了什么

别急着把这事压成一个英雄故事。Nightmare Eclipse 公开的是 Windows 核心产品里的漏洞——包括微软自家的杀毒引擎 Defender、磁盘加密工具 BitLocker——还给它们起了名：BlueHammer、RedSun、UnDefend、YellowKey。这是一次未协调的披露：没有留给微软先发补丁的窗口期。按微软的说法，其中三个漏洞在任何补丁存在之前，就已经被用在真实攻击里。这是真实的代价，由真实的人承担，假装它不存在就是不诚实。

研究员讲的是另一个开头：他们说自己最初试过跟微软合作，却遭到不公对待，用来报漏洞的 MSRC 账户被吊销，赏金也被赖掉。这两件事可以同时为真——既是那条上报渠道辜负了他，也是把可用的利用代码扔到公网上、把用户推到了一辆开动的车前。真正值得问的不是谁是天使，而是微软一发火，伸手去抓的是什么。

微软伸手抓的是检察官

5 月 28 日，微软的数字犯罪部门（Digital Crimes Unit）以刑事调查相威胁。第二天它发了篇博客，斥责研究员"不负责任的披露"、危及用户。但安全圈没有跟着点头。凯蒂·穆苏里斯（Katie Moussouris）——当年一手建起微软自己漏洞赏金计划的人——直言：可预料的结果是更少人愿意上报漏洞，那让我们所有人都更不安全。几天内微软就收回了威胁：它"无意对从事或发布安全研究的个人采取行动"。威胁撤回了。可寒蝉的信号早已发出，而那种信号，是没法完全收回的。

一个漏洞，是关于世界的一个真相

保罗·格雷厄姆在《黑客与画家》里有一篇《你不能说的话》。他的意思是：每个时代都有自己的异端——那些为真、说出来却会惹祸的陈述——而惩罚永远冲着说话的人，从不冲着那个真相。一个漏洞，恰恰是这种陈述。BlueHammer 不是 Nightmare Eclipse 对 Windows 持有的某个观点，它是关于 Windows 的一个事实：在这些条件下，系统能被逼着做它本不该做的事。利用代码，不过是把这句话大声说出来的那个句子。

所以看清起诉能碰到什么、碰不到什么。你可以吊销一个账户。你可以在博客里点名一个人，放数字犯罪部门去追他，杀鸡儆猴。可你做这一切，都伸不进那段二进制把窟窿补上。研究员说出的那个真相，在他被噤声之后依然为真。那些已经在用着其中三个漏洞的攻击者，不需要研究员的许可、也不需要你的许可，照样接着用。报信人你尽管罚——可那条消息说的是这个世界，而世界没有因此改变。

漏洞是关于系统的一个真相；起诉披露它的研究员（如微软在 Nightmare Eclipse 的 Windows 零日事件中所威胁的，2026 年 5 月，后撤回），改变的是谁挨罚，不是漏洞还在不在。激励只朝一个方向走：惩罚上报，就得到更少上报、更不安全的系统。框架：保罗·格雷厄姆《黑客与画家》《你不能说的话》。科普解读。

为什么这优化的是沉默，不是安全

格雷厄姆的另一半——正是这一半让本文不至于变成替鲁莽披露背书——是说：知道一个禁忌真相，和把它广播给一群人，是两回事。他对"一句危险的话该怎么说"近乎偏执：对谁说、在哪个房间里说、什么时机说。这一句话就是协调披露的精髓。先告诉厂商，给它一个窗口期，再公开喊。Nightmare Eclipse 跳过了谨慎的那一步，把实弹直接递给了所有在看的人。这一点，格雷厄姆不会鼓掌。两边的摩擦都是真的。

但有一个该拍板的不对称。当厂商惩罚那个鲁莽的上报者时，接下来十个谨慎的上报者都在旁边看着、学着——他们学到的不是"披露得更谨慎些"，而是"干脆别拿起电话"。穆苏里斯的警告，说白了就是激励设计：你最奖励哪个动作，就会得到更多哪个动作；你最惩罚哪个动作，就会得到更少哪个动作。把"说出来"这件事定成罪，你换不来更谨慎的披露，你换来的是一个发现了下一个 BlueHammer 的研究员，想了想数字犯罪部门，悄悄把标签页关掉。漏洞留下了。现在盯着它的，只剩攻击者。

这对你意味着什么

你不管着 MSRC，可同样的戏码，你每周都在小尺度上演。那个指出部署脚本已经悄悄毁了一个月数据的实习生。那个说"大家都夸的那套架构其实有个洞"的同事。那个赶在发布前两天交了份让 demo 很难看的 bug 报告的测试。他们每一个，都是你团队里的 Nightmare Eclipse——一个把关于你所拥有之物的、真实而不受欢迎的事实递到你面前的人。而世上最廉价的反射动作，就是冲他们开枪：让报信人后悔，来杀掉那条消息。格雷厄姆的黑客伦理偏要反着来：在意一件事"对不对"，而不是说出来"受不受欢迎"。那个告诉你哪里坏了的人，正是你最承受不起去教会他闭嘴的人——因为那处毛病，和那个漏洞一样，从来不在他的报告里。它早就在你身上了。他只是把它大声说了出来。

惩罚那份报告，补不上它发现的东西

把报信人噤声，漏洞还原封不动待在原地——只是现在指着它的，只剩下正在利用它的人。

框架取材自保罗·格雷厄姆《黑客与画家》，尤其《你不能说的话》一篇。报道来自 TechCrunch（2026 年 5 月 29 日）、The Record、微软自家 MSRC 博客，以及更广的安全社区反应（含凯蒂·穆苏里斯）。本文为科普解读，非安全或法律建议；知识产权归原作者所有。

テクノロジー

使者を罪に問うことはできる。だがバグは気にしない。

2026年6月23日 · ポール・グレアム『ハッカーと画家』約 6 分

2026年5月、Nightmare Eclipse を名乗る誰かが、Windows のゼロデイ6件を一気にネットへ放った——動く攻撃コードつき、マイクロソフトへの事前通告なしで。同社の答えは、パッチだけではなかった。刑事訴追の脅しだ。そして双方が避けて通っているのはこの点だ——訴追は誰が罰せられるかを決める。穴がまだあるかどうかは決められない。穴は、まだある。

醜い部分を残したまま、何が起きたか

これを英雄譚に均してはいけない。Nightmare Eclipse が公開したのは Windows の中核製品の欠陥だ——マイクロソフト自身のウイルス対策エンジン Defender、ディスク暗号化ツール BitLocker を含む——そして BlueHammer、RedSun、UnDefend、YellowKey と名づけた。これは未調整の開示だった。先に修正を出すための窓をマイクロソフトに与えなかった。同社の説明では、そのうち3件は、どんなパッチも存在しないうちに、すでに実際の攻撃に使われていた。これは現実の代償であり、現実の人々が払う。なかったふりをするのは不誠実だ。

研究者は別の発端を語る——最初はマイクロソフトと協働しようとしたが不当に扱われ、報告用の MSRC アカウントを取り消され、報奨金も踏み倒された、と。二つは同時に真でありうる。窓口が彼を見捨てたことも、動く攻撃コードを公開ウェブに放り出して利用者を走る車の前に立たせたことも。問うべきは誰が天使かではない。マイクロソフトが怒ったとき、手を伸ばした先が何だったか、だ。

マイクロソフトは検察官に手を伸ばした

5月28日、マイクロソフトのデジタル犯罪対策部門（Digital Crimes Unit）が研究者を刑事捜査で脅した。翌日には「無責任な開示」だ、利用者を危険にさらしたとなじるブログを公開した。だがセキュリティ界は同調しなかった。ケイティ・ムスーリス（Katie Moussouris）——マイクロソフト自身のバグ報奨金制度を築いた当人——は率直に言った。予想される結果は、バグを報告する人が減ることで、それは私たち全員をより危険にする、と。数日のうちにマイクロソフトは撤回した。「セキュリティ研究を行う、または公開する個人に対して行動を起こす意図はない」と。脅しは引っ込められた。だが萎縮の信号はすでに送られていて、ああいう信号は、完全には送り返せない。

バグとは、世界についての一つの真実だ

ポール・グレアムは『ハッカーと画家』の中に「言ってはいけないこと」という一編を置いている。彼の言い分はこうだ——どの時代にも異端がある。真実だが、口にすると罰せられる言明が。そして罰は、つねに語り手に向かい、決してその真実には向かわない。脆弱性は、まさにこの種の言明だ。BlueHammer は、Nightmare Eclipse が Windows について抱く意見ではない。Windows についての事実だ——この条件下では、システムは本来すべきでないことをさせられうる、と。攻撃コードとは、それを声に出して言う、その一文にすぎない。

だから訴追が何に触れ、何に触れられないかを見てほしい。アカウントは取り消せる。ブログで個人を名指しし、デジタル犯罪対策部門を差し向け、見せしめにできる。だがそのどれをもってしても、バイナリに手を入れて穴をふさぐことはできない。研究者が口にした真実は、彼が黙らされた後も真実のままだ。すでにその3件を使っていた攻撃者は、研究者の許可も、あなたの許可も要らず、使い続ける。使者はいくらでも罰すればいい——だがその伝言が語っていたのは世界で、世界はそれで変わらなかった。

バグはシステムについての真実であり、開示した研究者を訴追しても（Nightmare Eclipse の Windows ゼロデイをめぐりマイクロソフトが脅し、2026年5月、のちに撤回）、変わるのは誰が罰せられるかであって、バグが在るかどうかではない。誘因は一方向に働く——報告を罰すれば、報告は減り、システムはより危険になる。枠組：ポール・グレアム『ハッカーと画家』「言ってはいけないこと」。科学解説。

なぜこれは安全でなく沈黙を最適化するのか

グレアムのもう半分——本稿を無謀な開示への免罪符にしないのが、この半分だ——は、禁忌の真実を知ることと、それを群衆へ向けて大声で言い触らすことは別の行為だ、という。彼は「危険なことをどう言うか」にほとんど偏執的だ。誰に、どの部屋で、どの間合いで。それが調整開示の核心そのものだ。まずベンダーに伝え、窓を与え、それから大きく言う。Nightmare Eclipse は慎重な一歩を飛ばし、見ている全員に実弾を手渡した。これにグレアムは拍手しない。摩擦は双方に本物だ。

だが、決め手となる非対称がある。ベンダーが無謀な報告者を罰するとき、次の十人の慎重な報告者は横で見て、学ぶ——学ぶのは「もっと慎重に開示しよう」ではない。「そもそも電話を取るな」だ。ムスーリスの警告は、要するにインセンティブ設計を声に出しただけだ。最も報いる動きは増え、最も罰する動きは減る。「伝える」ことを罪にすれば、より慎重な開示は手に入らない。手に入るのは、次の BlueHammer を見つけ、デジタル犯罪対策部門を思い、そっとタブを閉じる研究者だ。バグは残る。いまそれを見つめているのは、攻撃者だけになった。

これがあなたにとって意味すること

あなたは MSRC を運営していない。だが同じ筋書きを、毎週、小さな規模で演じている。デプロイ用スクリプトが一か月も静かにデータを壊していたと指摘するインターン。みなが称えたあのアーキテクチャに穴があると言う同僚。公開2日前、デモを台無しに見せるバグ報告を出すテスター。その一人ひとりが、あなたのチームの Nightmare Eclipse だ——あなたが所有する何かについて、真実で歓迎されない事実を差し出す人。そして世界で最も安価な反射は、彼らを撃つことだ。使者に後悔させて伝言を殺す。グレアムのハッカー倫理は逆を行く。あることが「正しいか」を気にかけ、それを言うのが「歓迎されるか」を気にかけない。あなたのどこが壊れているかを告げる人こそ、黙ることを教え込む余裕が最もない一人だ——なぜなら、その壊れは、あのバグと同じで、決して彼の報告の中にはなかったから。とうにあなたの中にあった。彼はただ、それを声に出しただけだ。

報告を罰しても、それが見つけたものは直らない

使者を黙らせても、脆弱性はもとの場所に残る——ただ、いまそれを指しているのは、それを悪用する者だけになる。

枠組みはポール・グレアム『ハッカーと画家』、とりわけ「言ってはいけないこと」より。報道は TechCrunch（2026年5月29日）、The Record、マイクロソフト自身の MSRC ブログ、および広範なセキュリティ界の反応（ケイティ・ムスーリスを含む）による。本稿は科学解説であり、セキュリティや法律の助言ではない。知的財産権は原著者に帰属する。