脆弱性ってどうやって見つけるのか

ちょっと込み入ったJavaScriptを使ったWebサイト作ってると必ず一つぐらいは見つかるもの、と思ってるんですがおかしいのかな？
個人的には未発表かどうか調べるのも報告するのもあとのやり取りもウザいんで、Safariで発動しなきゃ放置なんですが……