Als een security onderzoeker een lek in een programma ontdekt, is hij dan ook de eigenaar van die ontdekking? De meeste mensen zijn het erover eens dat de onderzoeker "credit" moet krijgen voor zijn ontdekking, maar moet hij er ook aan kunnen verdienen?

Als je het aan iDefense of 3COM vraagt krijg je waarschijnlijk "ja" als antwoord. Beide bedrijven kopen exploits van onderzoekers. Veel ontwikkelaars zijn het echter niet met deze gang van zaken eens, omdat het mensen zou aanmoedigen om in programa's te gaan kijken en rommelen. Dit kan het imago van een bedrijf beschadigen als er ernstige lekken gevonden worden.

Laatst werd er zelfs een exploit op eBay aangeboden, hoewel de veilinggigant de veiling verwijderde, was er al 60 dollar geboden. Mogelijk kan dit zelfs tot een "security exploit veiling" leiden, waarbij onderzoekers exploits aan de hoogste bieder kunnen verkopen.

Volgens Seth Fogie is een exploit intellectueel eigendom en moet het ook zo behandeld worden. Hij heeft er geen probleem mee als mensen een exploit willen kopen, zolang dit maar op een verantwoorde wijze gaat, maar dat is een subjectief begrip, en de meeste mensen nemen niet hun verantwoording, met allerlei problemen tot gevolg.