趋势科技旗下安全研究团队Zero Day Initiative（ZDI）近日将一批新发现的内核漏洞提交至公开可访问的内核邮件列表，而非按行业惯例提交至不对外公开的安全邮件列表。这批漏洞中，部分尚未发布补丁，部分补丁正处于测试阶段，CVSS风险评分最高达到9.0。
稳定版内核维护者Greg Kroah-Hartman对上述做法提出批评，认为安全研究人员不应将漏洞报告递交至公共邮件列表。按照长期形成的协作惯例，内核漏洞通常先通过受控的非公开渠道披露，以便维护者在漏洞细节公开前完成修复，降低被利用的风险。
此次争议的背景是AI辅助漏洞发现工具的普及。借助大模型与自动化分析工具，安全研究人员发现漏洞的效率显著提升，漏洞报告数量随之增长，传统非公开披露流程面临的压力也在加大。ZDI此次选择公开提交，反映出部分研究团队在披露节奏与流程选择上与内核维护者存在分歧。
漏洞披露流程的规范直接影响企业软件与基础设施的安全维护成本。对于依赖Linux内核的云服务、企业软件与开发者工具厂商而言，漏洞从发现到修复的窗口期越短，系统面临的暴露风险越高。如何在提高漏洞发现效率的同时维持受控披露机制，正成为开源社区与安全研究机构需要共同面对的问题。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
