CVE
CVE（Common Vulnerabilities and Exposures，公共漏洞和暴露）是由美国非营利组织MITRE负责维护的全球统一漏洞标识系统。该系统为已公开披露的软件和硬件安全漏洞分配唯一编号（格式为CVE-年份-序号），使安全研究人员、厂商和用户能够以标准化方式引用和追踪特定漏洞，是全球网络安全信息共享与漏洞管理的重要基础设施。
核心事实
时间轴 (近 90 天)
部分CVE的公开细节并不完整，复现过程可能需要结合补丁diff反推触发点。
复现CVE的一般流程是：定位受影响版本、搭建对应环境、还原触发条件、观察异常行为并验证危害。
SRC挖洞与CVE复现的最大差别在于目标未知且范围受控：参与者只能在厂商划定的资产范围内测试，且需遵守平台规则。
目前关于 Linux 7.4 NTFS3 强化的公开信息仅为标题级别的披露，缺少 CVE 编号、具体函数改动和复现用例。
苹果每次系统更新后会在官方支持页面发布安全内容文档，以 CVE 编号逐条列出已修复漏洞，并标注受影响组件及漏洞类型。
漏洞管理的目的不是让 CVE 数字归零，而是将有限修复资源对准真正会被利用的缺口。
CVE 本身不包含漏洞的严重程度或技术细节，只是“存在一个漏洞”的索引。
CVE 数量年年创新高是行业共识，但这反映的是可见度提升而非风险等比例放大。
Cisco提出“一bug一CVE”模式正走向崩溃，因为厂商用LLM扫描代码并批量修复漏洞时，不可能为每个内部修复的漏洞分配CVE；此外存在无CVE已被利用、CVE滞后于利用、一个CVE对应多个补丁等场景。
Chuvakin认为把CVE当作工作单元而非标识字符串，是许多漏洞管理程序失效的根源。
还有 40 条时间轴事件
全部知识事实 (20)
CVE是由美国MITRE公司维护、美国国土安全部资助的全球漏洞标识系统，自1999年启动以来已收录超过20万个漏洞条目
90%已验证2024年多项学术研究显示，GPT-4等模型能够在受控环境中识别某些类型的软件漏洞，其效率接近初级安全研究员
85%已验证CVE（Common Vulnerabilities and Exposures）数据库是全球最权威的漏洞编号系统，每天都有新的漏洞被披露和收录
80%已验证NVD数据库每年新增CVE数量已超过25000条，2023年创历史新高
65%待验证AISI的评估采用多层次测试框架，参照CVE数据库中的真实案例，同时设计全新挑战场景测试模型泛化能力
85%部分验证2024 年 UIUC 的研究表明 GPT-4 能够自主利用已公开的漏洞进行攻击，成功率达 87%
65%待验证每年约10万个CVE中仅有不到100个被确认为零日利用
65%待验证CVE编号系统由MITRE公司维护，格式为CVE-年份-序号
60%待验证SRC挖洞与CVE复现的最大差别在于目标未知且范围受控：参与者只能在厂商划定的资产范围内测试，且需遵守平台规则。
50%待验证复现CVE的一般流程是：定位受影响版本、搭建对应环境、还原触发条件、观察异常行为并验证危害。
50%待验证部分CVE的公开细节并不完整，复现过程可能需要结合补丁diff反推触发点。
50%待验证目前关于 Linux 7.4 NTFS3 强化的公开信息仅为标题级别的披露，缺少 CVE 编号、具体函数改动和复现用例。
50%待验证苹果每次系统更新后会在官方支持页面发布安全内容文档，以 CVE 编号逐条列出已修复漏洞，并标注受影响组件及漏洞类型。
50%待验证CVE 数量年年创新高是行业共识，但这反映的是可见度提升而非风险等比例放大。
50%待验证漏洞管理的目的不是让 CVE 数字归零，而是将有限修复资源对准真正会被利用的缺口。
50%待验证CVE 本身不包含漏洞的严重程度或技术细节，只是“存在一个漏洞”的索引。
50%待验证Chuvakin认为把CVE当作工作单元而非标识字符串，是许多漏洞管理程序失效的根源。
50%待验证Cisco提出“一bug一CVE”模式正走向崩溃，因为厂商用LLM扫描代码并批量修复漏洞时，不可能为每个内部修复的漏洞分配CVE；此外存在无CVE已被利用、CVE滞后于利用、一个CVE对应多个补丁等场景。
50%待验证CVE 编号分配、NVD 富化（CVSS 评分、CPE 匹配）与厂商公告之间存在时间差，直接消费原始 CVE 条目可能得到缺少影响范围描述的数据。
50%待验证在将 Cve.now 接入生产环境前，应确认其数据是否来自官方 CVE/NVD 渠道、是否有稳定 SLA 以及是否提供变更日志。
50%