FedTrust-CVDv2 框架解决 AI 发现漏洞时证据与授权脱节问题

该论文针对 AI 辅助漏洞发现速度快于维护者验证速度的挑战，提出 FedTrust-CVDv2 联邦协调漏洞披露框架，旨在确保漏洞主张的可信度及其支持证据、人类授权、预期接收方和适用政策始终绑定在同一案例修订版中。框架通过分离证据验证、跨组织协调、人类治理和许可审计，将独立签名的观察结果绑定到确切的证据修订版，并将外部行动限制在已批准的负载、受众、过期时间和撤销状态内，同时保留现有的 CVE 编号机构（CNA）角色。

实验部分显示，本地参考实现接受了所有 25 个有效测试用例并拒绝了所有 650 个无效测试用例，涵盖 27 种构建的策略家族；而移除单一防护措施的消融实验则允许 25 至 75 个无效测试用例通过。文中还通过 PHP2Shell 案例说明如何在运行时证据、补丁状态、紧急协调和 CNA 权威之间建立联系，避免将未支持的声明归因于 AI，或将审计完整性等同于漏洞真实性。

事实层面，该研究提出了具体的架构设计和实验数据，证明了在特定策略下区分证据与行动的有效性。推断层面，该框架可能成为未来处理 AI 生成漏洞报告的标准流程之一，特别是在需要严格审计的场景中。猜测层面，该框架能否被主流漏洞管理平台广泛采纳，以及其实施成本是否会影响中小企业的参与度，目前尚无数据支持。