摘要

  • Erlang 生态基金会董事会主席在 RIPE 93 说，该基金会负责的 CVE 工作去年约十件，今年预计超过五百件。
  • 自动发现把报告送进门，后面的真假判断、维护者联系、补丁发布和编号公开仍由人完成。

找漏洞的机器踩下油门，修漏洞的人还在找周一的空档。RIPE 93 安全工作组的演讲里，Erlang Ecosystem Foundation 董事会主席 Alistair Woodman 报出一组刺耳的数字：去年约十件 CVE，今年预计超过五百件，约五十倍。五百是全年预估；眼下已能看到的，是一个小团队不得不重排工作的节奏。Woodman 的解释很直接：缺陷原本就在代码里，现在更容易被找出来。

CVE 项目的官方登记列明基金会的管辖范围：Hex.pm 上的活跃软件包，以及指定的 Erlang、Elixir、Gleam 项目；已有其他编号机构负责的项目除外。Woodman 估计生态中有两万多个包。扫描器遍历包名很快，可报告进入队列后，必须有人写出最小复现、判断影响，并找到愿意停下手头工作的维护者。

会议逐字稿还写下团队内部的一脚刹车：一人借 AI 寻找候选漏洞，另一人盯着编号机构的队列深度，提醒前者别把后者淹没。基金会正试着按项目集中安排报告，让维护者预留一段修补时间，而不是隔几天被敲一次门。演讲原始幻灯片专门留了一页给“维护者倦怠”。

基金会自己的协调流程把权责写得比口号清楚：协调员先筛报告、准备可复现证据、私下联系维护者，再送编号机构审阅；最终由指定负责人公开 CVE。维护者十四天不回应，基金会可以自行发布；已公开或正在被利用的漏洞，发布窗口为二十四小时。这些时钟不会替维护者写补丁，却决定信息何时离开小圈子。

Woodman 说这项工作靠赞助支撑。发现速度已经买到了，后面那张核验、修补、发版的工时账单还得有人签。