De politie zou zodoende kwetsbaarheden, waardoor miljoenen internetgebruikers risico lopen, niet direct melden bij de leverancier. Ja en? Denken de betrokken kamerleden nou werkelijk dat elk gemeld lek onmiddellijk wordt gerepareerd door elke leverancier? Zeker nooit geconstateerd hoe lang bedrijven zoals HP en Oracle doen over het uitbrengen van patches? Vooral als er geen aanwijzingen zijn dat deze ITW (in the wild, in de praktijk/op internet dus) worden misbruikt? Software zoals tot nu toe gemaakt wordt is lek, get used to it. Zero-days zijn veel geld waard. De kans dat exploits voor zero-days in handen van kwaadwillenden vallen (inclusief politie indien deze dergelijke lekken zonder ernstige verdenking zou inzetten) is dus groot. Zodra een exploit voor een lek wordt ingezet, neemt de kans dat het lek algemeen bekend wordt, enorm toe. En de kans dat zo'n lek vervolgens snel gepatcht wordt is, vermoed ik, groter dan een lek dat volgens de "responsible disclosure" regels van de betreffende softwaremaker ...