MeltdownとSpectreの情報公開プロセスは数カ月にわたり、何度も障壁に突き当たった。この脆弱性の一部は、Googleのジャン・ホーン氏が同社のセキュリティチーム「Project Zero」の活動の一環として、他の研究者と共に発見した。発見チームにProject Zeroが関わっていたにもかかわらず、2017年6月1日にMeltdownとSpectreの脆弱性をIntel、AMD（Advanced Micro Devices）、Armに正式に報告した時点で、Googleにさえ事前にこの脆弱性のことは知らせていなかったという。

　ところがリントン氏によると、半導体メーカー各社は勘違いして、ホーン氏は既にGoogle社内の適切な担当者にこの脆弱性のことを知らせていると思い込んだ。結果としてリントン氏と同氏のチームは、この情報が初めて報告されてから1カ月半たった2017年7月中旬になるまで、MeltdownとSpectreの情報公開プロセスに関与しなかった。

　他にも問題はあった。例えば協調的な情報公開の取り組みに関わっていた関係者に対し、Webブラウザで脆弱性を悪用できることを示すコンセプト実証（PoC）コードを開発したとMicrosoftが告げたのは、2017年10月下旬だった。この時までMeltdownとSpectreの緩和策とパッチ開発の取り組みには、Webブラウザは含まれていなかった。

　プロセスの初期段階には、半導体メーカー間のコミュニケーションや協力関係が限られるという問題もあり、これは他のベンダーにも波及して影響を与えた。「驚いたことに、半導体メーカーは必ずしも互いの間であまり頻繁に話をしない。彼らは情報を共有したがらない」とロビンソン氏は打ち明ける。

　ドエル氏によると、2017年11月初めには同プロセスにとって重要な転機が訪れた。半導体メーカーと研究チームに加え、GoogleやMicrosoftなど影響を受ける少数のベンダーの代表者が集まり、互いに顔を合わせるミーティングを開催。これが助けとなって、対策の取り組みは、より協調的な態勢へと動き出した。

　法律上および競争上の懸念を考えると、「この種の会議が希少なことはおかしい」とドエル氏は言う。「正直言って、私はこの会議の協力関係に圧倒された。その後も困難が続かなかったわけではない。だが、これは協力関係が桁違いに強化される転機だった。私は初めて、自分たち全員が同じ目標に向かって一丸となっていることを感じた」（同氏）

　ドエル氏は特に、Googleの技術インフラ担当上級スタッフエンジニア、ポール・ターナー氏が、同社のSpectre緩和パッチ「Retpoline」に関して、Microsoftなどのベンダー各社と連携した功績を評価する。両社は通常であれば競合の関係にある。「念のために言っておくと、GoogleとMicrosoftはいつも仲がいいとは限らない」とドエル氏は言う。リントン氏も「この時まで私たちは全員が、互いに話をするのを怖がっていた」と振り返る。

情報特権

　MeltdownとSpectreの情報公開プロセスで浮上した特に大きなジレンマは、一般に公表される前に、この脆弱性情報のことを知らせる相手と、そのタイミングを見極めることだった。

　ロビンソン氏によれば、Red Hatチームが正式にMeltdownとSpectreのことを知らされたのは、前述の対面ミーティング実施後の2017年11月下旬だった。

　「ショッキングな情報だった。それまでに製造された全てのコンピュータに欠陥があるとは……。われわれはどうすべきなのか。それまでの協力態勢は助けにはなるものの、まだやるべきことは山のようにあった」。ロビンソン氏はそう振り返る。

　リントン氏によると、この脆弱性に関する「情報解禁の権限」は半導体メーカーにあった。責任ある情報公開のポリシーに従って、どの関係者に知らせるかを判断したのは半導体メーカーだった。半導体メーカーは「おおむね正しい相手を選んだ」と同氏は話す。ただし同氏は、他の関係者も含めるよう促したという。

　ロビンソン氏もこの考え方に同調した。「私たちは何らかの協力関係、あるいは少なくとも何らかの情報共有を実現するため懸命に努力した。まだ含まれていない関係者が数社あったからだ。私は他の商用Linux（ベンダー）も巻き込むために、声を大にしなければならなかった。彼らはわれわれの対策パッチ開発に力を貸してくれた」

　ドエル氏は、MeltdownとSpectreの情報公開プロセスが困難を極めた理由として、あまりに多くの幅広い企業が影響を受ける問題でありながら、半導体メーカーがある事情により、その公開範囲を限定したことを挙げる。あらゆる相手に打ち明けた結果、緩和策やパッチの準備が整う前に、情報がリークされる危険を冒すわけにはいかないという事情だ。

　情報解禁の予定日を約1週間後に控えた2018年1月3日になって臆測が飛び交い、Intelはこの脆弱性に関するうわさを伝えたメディアの報道に対して、正式な対応を余儀なくされた。

　脆弱性を扱う際に留意すべきこととして、ドエル氏は「特に複数の関係者が絡んでおり、複雑性が極めて高い場合にいえること」だと前置きした上で、次のように語る。「仲間に加える人数が増えるほど、リークされる可能性は高くなる。だが何千人もの関係者が業界を横断してこの問題に取り組みながら、半年以上にもわたって覆い隠すことができたのは、私にとっては衝撃的だった」

　リントン氏によれば、Googleは「客観的基準」に基づいて、どの関係者に脆弱性のことを知らせるか決めようと試みた。今回の場合、その基準にはOSや仮想環境の保守担当者に加え、投機的実行に関わるカーネルドライバの開発を手掛ける半導体の設計・開発担当者が含まれていた。

　ロビンソン氏はもっとシンプルなアプローチに従って、情報公開前のプロセスに関わるべき関係者を決定した。「価値を付け加えることのできる相手であれば、手を貸してもらうべきだと考える」と同氏は語り、全関係者に必ずしも脆弱性に関する情報を全面的に開示する必要はないと説明する。