O quanto dá pra saber sobre spywares tipo Pegasus DE VERDADE?

Estava me questionando aqui sobre spywares de nível estatal (o exemplo mais famoso é o Pegasus) e me peguei pensando: Apesar de serem literalmente segredo de estado, é possível obter informações confiáveis sobre esses softwares?

Eu digo pra além de press releases e um ou outro relato, o quanto realmente sabemos desse tipo de software? Eles de fato conseguem se aproveitar de 0 days e burlar “qualquer sistema” ou isso é marketing? Se for marketing, quem essas empresas querem convencer?

Alguém tem relatos pessoais de contato com esses software (seja como alvo, como dev ou como destemido usuário de Tor browser)? Existe alguma versão “vazada” (ou antiga) desse tipo de ferramenta?

Talvez a conversa soe um pouco ingênua, mas me bateu essa curiosidade de saber o quanto REALMENTE se sabe sobre esse tipo de software e o quanto é marketing (ou estratégia de amendrontamento, dependendo do caso)