随着互联网和数字技术深入人们日常生活，网络安全的重要性日益凸显。几乎每一次通信、交易乃至关键基础设施的运行都离不开网络系统的支撑。然而，作为全球网络安全防护核心的漏洞预警系统正在遭遇严重的危机，威胁着所有依赖数字技术的个人和组织的安全保障。美国管理的国家漏洞数据库（NVD）和通用漏洞编号系统（CVE）是全球公认的两个基础支柱，它们为安全团队提供最新的漏洞识别和分析数据，以便及时修补和防范攻击。过去十八个月，这两大系统先后陷入困境。NVD在2024年2月突然停止更新新漏洞数据，理由笼统地归结为“跨机构支持变动”，引发行业内恐慌。
数月后，CVE程序的未来也变得暗淡，一封合同即将到期的泄露信件更是加剧了担忧。漏洞数据是防御网络攻击的第一道屏障，未被及时发现和通报的安全缺陷极易成为黑客的突破口，导致医院系统崩溃、重要基础设施瘫痪等严重后果。美国网络安全和基础设施安全局（CISA）在合同危机爆发后紧急延长了CVE项目的资金支持，但NVD情况更加复杂。国家标准与技术研究院（NIST）2024年遭遇约12%的预算削减，CISA也撤回了对NVD的370万美元年度资助，致使漏洞分析的工作积压迅速累积。面对压力，CISA启动了名为“Vulnrichment”的项目，意图通过授权多个合作伙伴发布漏洞丰富信息，减轻政府单一承担的负担。NIST则试图通过聘请承包商加速漏洞处理，尽管如此，堆积漏洞数量仍近2.5万条，远远超出2017年9千条的历史高峰。
漏洞数据库的更新滞后不仅降低了漏洞修补的效率，也令安全团队陷入“黑暗时期”。业内人士用“图书馆目录突然被撕毁”来形容CVE编号系统的重要性，丧失该系统将使防御者面对一片混乱，而攻击者趁虚而入。随着官方渠道步履维艰，全球网络安全格局开始发生微妙变化。许多组织，尤其是拥有更充裕资金的企业，纷纷转向商业漏洞管理软件平台，这些平台结合自身研究和多元化数据源为客户提供专有风险评级和修复建议，如Qualys、Rapid7及Tenable。然而，高昂的服务费用使得小型初创企业和资源有限的组织处于劣势，他们难以负担这些工具，只能依赖于不稳定的公共数据库，这无疑加剧了网络安全的不平等。新设备和智能硬件的普及也带来了隐患。
智能家居设备和办公楼安全系统中的安全漏洞往往难以及时被捕捉和修补，使得“孤立漏洞”存在致命风险。NIST自身承认，目前对哪些行业或组织受漏洞积压影响最大缺乏明确数据，工作重点依赖于已知的已被利用漏洞和厂商发布的补丁通告。另一方面，网络安全行业内部也提出了多种替代方案和改革思路。前CVE董事会成员、开源漏洞数据库创始人之一Brian Martin领导的VulnDB便以速度快、覆盖广和成本低的优势受关注，其数据库中存在超过11万条未获得CVE编号的漏洞，暴露出公共系统覆盖不足的现实。美国政府目前依赖承包商与非营利组织分摊漏洞发现与管理任务，产生了效率低下、层级过多等问题，但官方则强调这些分散结构有助于生态系统的多样性和韧性。与此同时，国际社会开始寻求自主的漏洞管理体系。
中国已建立多个漏洞数据库，尽管可靠性和透明度受质疑，但显示出其对技术安全独立性的追求。欧洲联盟也加紧部署自己的漏洞数据库平台，推出去中心化的“全球CVE”架构，意图避免过度依赖单一国家，这也反映出网络安全领域地缘政治的日益显著。这一变化让安全从业者面临多源信息的不兼容挑战，尽管复杂，但信息过剩总优于信息匮乏。对于软件制造商的责任问题亦日益突出。虽然漏洞数量激增，许多问题仍属于传统类别如SQL注入和缓冲区溢出等，但软件公司往往披露漏洞后缺乏足够补丁措施，消费者权益难以得到保障。长期以来，软件通过“包装许可”规避法律责任条款，使得受影响客户难以追究供应商责任。
但随着影响范围和损害成本攀升，这种法律屏障开始出现裂痕。2024年，CrowdStrike一次更新引发大规模Windows系统崩溃，造成航空公司、医院、应急服务综合瘫痪，令底特律等城市宣布紧急状态。受影响企业纷纷聘请律师寻求赔偿，正预示着未来软件安全责任将进入更多法律斗争。专家呼吁实施硬性“软件成分清单”（S-BOM），犹如食品成分表一般明确告知软件组成，增强供应链透明度和安全性，防止第三方组件漏洞成为攻击入口。网络安全机构也主张推广“安全设计”原则，要求基础安全功能免费提供，减少客户负担，从根本上降低漏洞数量。当前困境也催生了人工智能辅助漏洞管理的探索。
研究人员借助OpenAI模型发现“零日”漏洞，一些漏洞数据库团队亦开发AI工具以自动化信息采集和处理流程。NIST指出高达65%的分析时间花费在生成软件产品信息编码上，AI自动化可大幅提升效率。然而，行业专家警示AI技术目前尚不成熟，准确率及可靠性仍不足以替代人工审核，安全领域容不得偏差。全球漏洞管理体系正在经历前所未有的转型。部分前CVE负责人成立了非盈利基金会，致力于打造国际化、可持续的漏洞生态，新兴开源项目如谷歌的OSV和NVD++也试图建设更开放、低成本的替代方案。随着网络安全逐渐成为国际公共产品范畴，持久稳定的合作与投资成为保障数字安全的关键。
若任由官方资源断裂导致公共数据库衰退，只剩高收费数据库供少数富裕组织和国家使用，全球网络安全环境将更加脆弱。整体来看，全球网络安全预警系统的失灵不仅暴露了公共资源管理的挑战，也体现了当代数字治理的复杂性。网络安全防线的有效构建需要政府、企业乃至跨国合作的共同努力，技术创新与法律改革同步推进，才能避免陷入无人监管的“数字黑暗时代”。未来几年，谁能够重塑高效透明的漏洞管理体系，谁就能在全球网络安全竞赛中占据主动权，保障数字经济和社会的持续稳定发展。
