Radicle 披露了其点对点代码协作节点所使用的网络协议中存在两个严重缺陷，并警告称，迄今为止发布的每个版本都受到影响。核心风险并非伪造代码：Radicle 表示，经过签名的引用仍然能够保护仓库内容和身份。真正令人担忧的是私有仓库在节点之间传输时的暴露风险。
Radicle 披露了影响其点对点代码协作软件所有已发布版本的严重网络协议缺陷。
第一个缺陷使 Noise 握手之后的流量既未加密，也未进行身份验证。因此，任何能够观察网络路径的人都可以读取仓库 ID、对等节点地址、gossip 消息以及 Git 对象——包括私有仓库数据。第二份研究人员报告确认，这一问题影响截至 1.10.3 的所有版本，而且目前尚未发布任何修复版本。
该披露信息称，仓库数据可能在传输过程中暴露，而且截至 1.10.3 版本仍没有可用的修复版本。
第二个缺陷破坏了连接握手期间的对等节点身份验证，使攻击者能够出示并非属于自己的节点 ID。单独利用这一缺陷仍然需要事先知道一个已列入允许列表的 ID。当路径观察者先读取通信双方的 ID，随后再冒充其中一方直接请求私有仓库时，风险会叠加。
Radicle 建议的应对措施是，在安全更新发布之前，停止通过网络使用和播种私有仓库。该公司表示，应把此前传输过的私有仓库视为已经泄露，轮换其中包含的任何凭据或令牌，并要求获授权的对等节点也屏蔽这些仓库。披露信息还警告称，VPN 及类似覆盖网络无法解决彼此独立的冒用身份缺陷。
最终修复方案将以 iroh 取代当前传输层，使其与现有网络协议不兼容，并要求发布重大版本。这带来了一个运维层面的取舍：升级可能使 v2 节点与 v1 对等节点彼此隔离，但继续使用受影响的版本则会让私有数据持续暴露。目前既没有发布日期，也没有独立提供的技术审计，因此修复工作的时间安排和完整性仍未得到解决。