Если аудит кода ведется за деньги, и нашедший и (сразу) устранивший(!) уязвимость гарантированно получит деньги то проблема, откуда их брать в опенсорсе. Фонды как-то мало этим озабоченны. Еще есть конторы, занимающиеся безопасностью, и они, насколько я понимаю, вкладываются в известность и репутацию таким образом (но это не самая правильная мотивация). Вполне логично если этим, кстати, озаботится какая-то общественная организация , не привязанная к какому-то вендору. В конце концов и любое государство (или межгосударственная структура) может спонсировать, ему-то это выгодно.