CVE
CVE（Common Vulnerabilities and Exposures，公共漏洞和暴露）是由美国非营利组织MITRE负责维护的全球统一漏洞标识系统。该系统为已公开披露的软件和硬件安全漏洞分配唯一编号（格式为CVE-年份-序号），使安全研究人员、厂商和用户能够以标准化方式引用和追踪特定漏洞，是全球网络安全信息共享与漏洞管理的重要基础设施。
核心事实
时间轴 (近 90 天)
wolfSSL收到74份AI漏洞报告只有2份无效，其中5份成为正式CVE
Linux内核因体量庞大、应用场景广泛，每年产生的CVE数量位居所有开源项目前列
Greg K-H深度参与内核CVE的分配与管理流程
CTF（Capture The Flag）解题能力和CVE漏洞复现能力是衡量模型安全分析水平的常用指标
Agent框架的CVE暴露面往往不只来自框架自身代码，还包括传递依赖（transitive dependencies）中的问题
依赖扫描工具部分基于已知漏洞数据库（如 CVE、OSV）进行版本比对，部分通过分析包的动态行为特征识别潜在恶意代码，后者对尚未进入漏洞库的新型仿冒包更具检测优势
判断目标防护薄弱的常见信号包括使用较老版本的CMS或开源框架（如老版ThinkPHP、Shiro）、有已公开CVE对应的组件版本、页面缺乏CSRF Token或接口未做鉴权
传统软件行业已形成CVE（公共漏洞与暴露）数据库等相对成熟的标准化披露体系，而AI安全领域尚缺乏此类规范
2024年多项学术研究表明，前沿模型在特定条件下已能自主发现并利用已知CVE漏洞
CVE漏洞数据库和Google的每月安全公告是追踪此类漏洞信息的公开渠道
还有 15 条时间轴事件
全部知识事实 (20)
CVE是由美国MITRE公司维护、美国国土安全部资助的全球漏洞标识系统，自1999年启动以来已收录超过20万个漏洞条目
90%已验证2024年多项学术研究显示，GPT-4等模型能够在受控环境中识别某些类型的软件漏洞，其效率接近初级安全研究员
85%已验证CVE（Common Vulnerabilities and Exposures）数据库是全球最权威的漏洞编号系统，每天都有新的漏洞被披露和收录
80%已验证NVD数据库每年新增CVE数量已超过25000条，2023年创历史新高
65%待验证AISI的评估采用多层次测试框架，参照CVE数据库中的真实案例，同时设计全新挑战场景测试模型泛化能力
85%部分验证2024 年 UIUC 的研究表明 GPT-4 能够自主利用已公开的漏洞进行攻击，成功率达 87%
65%待验证每年约10万个CVE中仅有不到100个被确认为零日利用
65%待验证CVE编号系统由MITRE公司维护，格式为CVE-年份-序号
60%待验证wolfSSL收到74份AI漏洞报告只有2份无效，其中5份成为正式CVE
50%待验证Greg K-H深度参与内核CVE的分配与管理流程
50%待验证Linux内核因体量庞大、应用场景广泛，每年产生的CVE数量位居所有开源项目前列
50%待验证CTF（Capture The Flag）解题能力和CVE漏洞复现能力是衡量模型安全分析水平的常用指标
50%待验证Agent框架的CVE暴露面往往不只来自框架自身代码，还包括传递依赖（transitive dependencies）中的问题
50%待验证依赖扫描工具部分基于已知漏洞数据库（如 CVE、OSV）进行版本比对，部分通过分析包的动态行为特征识别潜在恶意代码，后者对尚未进入漏洞库的新型仿冒包更具检测优势
50%待验证判断目标防护薄弱的常见信号包括使用较老版本的CMS或开源框架（如老版ThinkPHP、Shiro）、有已公开CVE对应的组件版本、页面缺乏CSRF Token或接口未做鉴权
50%待验证传统软件行业已形成CVE（公共漏洞与暴露）数据库等相对成熟的标准化披露体系，而AI安全领域尚缺乏此类规范
50%待验证2024年多项学术研究表明，前沿模型在特定条件下已能自主发现并利用已知CVE漏洞
50%待验证CVE漏洞数据库和Google的每月安全公告是追踪此类漏洞信息的公开渠道
50%待验证CVE系统中的漏洞详情会设置披露时间窗口，在补丁发布前仅对授权方开放
50%待验证将基础镜像替换为最小化方案可以一次性消除数百甚至上千个来自系统层的CVE
50%