前沿模型加剧漏洞挖掘,90 天披露窗口已不合时宜,应缩至 30 天

chrisrohlf · x · 2026-09-23

安全研究者 chrisrohlf 提出观点:前沿模型降低了发现与利用漏洞的门槛,CVE 数量和 SWE 与漏洞管理团队的工作量都在上升,但协同漏洞披露的时间规范仍停留在约 90 天——这在 10 年前可行,如今难以为继,应缩短到 30 天左右。要做到这一点,需依赖同样的模型准确修复漏洞并协调新版本的发布与部署,主要障碍是对模型胜任度缺乏信心、不愿把人从流程中移除。作者警告 shellshock、log4j、heartbleed 级别事件的发生概率每天都在上升,呼吁不要等到危机再改规范:缩短披露窗口、让自动化进入漏洞管理闭环。