使用开源权重模型意味着企业需要自行负责安全补丁和 CVE 响应，没有厂商会主动通知。