摘要

  • LACNIC的一篇回顾称，CEDIA的Badí Quinteros在2025年的演讲中介绍了对厄瓜多尔47所大学公共网络表面的月度监测；获得F级、即严重评级的比例据称从23.4%降至11.1%。
  • FIRST的议程摘要也列出相同数字，但两份公开材料都没有给出两端F级人数，也没有说明每次实际完成评分的学校数量。因此，读者无法依据现有公开材料复算这一变化。

分析

只有百分比，没有人数

LACNIC于2026年9月29日发布的回顾，追溯了2025年LACNIC 44期间的一场演讲。文中称，CEDIA的Badí Quinteros展示了对47所厄瓜多尔大学的监测数据，并表示，随着学校修复暴露在公网的漏洞，获得严重评级的比例从23.4%降至11.1%。FIRST区域研讨会的原始议程提供了更完整的演讲摘要：监测从2025年1月至7月按月进行。摘要还称，所有机构都存在未修补的严重或中危CVE，超过95%的机构有凭据暴露，样本组合平均得分从72升至76，Universidad Técnica del Norte则从42升至97分。

这些是演讲中报告的结果，不是已经公开的数据集。FIRST议程与LACNIC回顾是对同一场演讲的关联记录，并非独立验证。两者都没有列出各机构的分数、前后两端的F级数量，也没有说明每次计算究竟纳入多少所学校。所引材料也未交代评级尺度、精确测量日期或缺失分数的处理方式。

“监测47所大学”并不能单独证明47所学校在两个测量端点都获得了评分。若两端分母始终为47，23.4%经四舍五入后与11/47吻合；但11.1%并不是以47为分母、整数学校数计算后保留一位小数所得的比例。举例来说，5/45会得到11.1%；这只是算术示例，不代表研究实际评估了45所学校。

分母信息缺失，并不能证明任何一个百分比有误。第二次计算可能使用了不同数量的已评分学校、变化中的队列、不完整记录，或不同于整体监测对象的评级范围。公开来源没有说明究竟是哪种情况。报告的安全分数也不能证明漏洞、成功攻击或实际事故有所减少。分数变化与事故率变化是两种不同的指标。

LACNIC近期的文章在邀请读者参加2026年FIRST研讨会时引用了这项结果。这一背景说明数字为何重新进入视野，但它没有增加新的测量，也没有验证此前结果。FIRST议程仍是这场演讲最初的公开说明；后来的回顾只是重复相关说法，不构成第二套数据。

所需补充并不复杂：公布两个端点的F级人数和实际评分学校数，说明评级定义与日期，并交代队列覆盖范围或缺失分数处理是否改变。回答这一汇总层面的问题，无须披露任何学校的敏感细节。在此之前，稳妥的表述只能是：该演讲报告比例从23.4%降至11.1%，但公开记录不足以还原其分母。

来源