>> 1. Его уже использует больше, чем «полтора анонимуса».
>> 2. В нём порядками меньше поверхность для атаки, чем в gtk-3.
>>

$ wc -l slock.c 
>> 290 slock.c

> Объектом атаки в данном случае является не только блокировщик, но также иксы
> и запущенные графические приложения. Задача блокировщика - по-максимуму подстелить соломку и перехватить все, что возможно.

Как раз-таки в данном случае атака производилась на код не X-сервера [1].

[1] https://github.com/RavetcoFX/cinnamon-screensaver/commit/891...

Да и вообще, если почитать новость, то это и так становится очевидным.

> Так что здесь все наоборот - чем меньше кода, тем _больше_ поверхность
> для атаки.

Код — это и есть поверхность для атаки (как подсказывает Кэп). А по поводу размера кода, требуемого для параноидальной блокировки (с точки зрения Google), можете посмотреть в тот же [2]. Чуть меньше чем тот монстр-файл в cinnamon-screensaver, в котором устраняли "уязвимость" очередным гвоздём, не так ли?

[2] https://github.com/google/xsecurelock