Сразу видно что не понял о чем речь. Речь не про автогенеренные отчеты, а про реальные уязвимости которые кто-то нашел. По сути человек занимается благотворительностью, посылая вам отчеты об уязвимостях, поэтому если не делать возможность посылания этих отчетов максимально безгеморным, то их тупо никто посылать не будет, а либо забьют, либо просто продадут или распространят бесплатну инфу об уязвимостях людям куда более благодарным.

Почему балготворительность? Ну потому что все эти обещания вознаграждений за их нахождения (это если такие обещания вообще есть, некоторые ничо не обещают и еще тебя засудить могут попытаться за то что ты ковырялся в их софте), они, как говорят буржуи, not legally binding. А по факту я не помню случая чтобы компании не надо было выкручивать яйца чтобы она даже обещанное дала, а если им дать еще возможность твои деньги себе захапать, лол. А тут тем более что опенсорс, все принципиально на добровольной основе.

В общем, хотите чтобы сразу было все для вас готово и никаких усилий не надо было вкладывать? Нанимайте аудиторскую фирму с настоящими людьми за настоящие деньги. Не хотите платить и хотите чтобы коммьюнити проверяло ваш софт на добровольной основе? Будте готовы к тому что это надо будет все перепроверять самим. Дареному коню в зубы не смотрят. А желание и рыбку съесть и на CoC сесть вызывает только смех.