OpenJS CNA 面臨 AI 生成漏洞通報暴增，將暫停 CVE 處理近 3 週

OpenJS 基金會旗下的 CVE 編號授權機構（CNA）宣布，將於 9 月 17 日至 10 月 6 日暫停一般資安作業，10 月 7 日恢復。期間一般漏洞通報的分類與確認、安全公告驗證，以及 CVE 編號的指派與發布都將暫緩；機構仍會接收通報，但一般案件延後處理，涉及已遭實際利用的漏洞則另行處理。

促成這項決定的是 AI 生成漏洞通報的暴增。生成式工具讓產出一份格式完整、看似專業的漏洞報告變得極為容易——報告有結構、有技術術語、有看似合理的攻擊路徑描述，但其中相當比例在實際驗證後並不成立。

問題的不對稱性正是關鍵。產出一份報告的成本趨近於零，而驗證一份報告卻需要熟悉該專案的維護者投入實質時間：閱讀描述、重現條件、檢視相關程式碼、判斷影響範圍。當通報量以數倍成長而驗證人力不變，積壓就無可避免。

這對開源生態的衝擊格外嚴重。多數開源專案的資安處理依賴少數志願維護者，而這些人原本就處於時間緊繃的狀態；把有限的心力耗費在驗證不成立的報告上，直接排擠了真正的漏洞處理與功能開發。維護者的耗竭是比單一漏洞更根本的風險。

暫停作業是一個誠實但代價明確的因應。它承認了現行流程無法承受當前的通報量，並選擇以暫停換取重整的時間；代價則是這段期間的一般漏洞處理延後，而風險由使用這些套件的下游承擔。

後續觀察重點在於恢復後的流程調整。可能的方向包含要求通報者提供可執行的重現步驟、引入自動化的初步篩選，或建立通報者的信譽機制；而其他 CNA 是否面臨同樣的壓力並採取類似措施，將顯示這是個案還是整個漏洞通報體系的共同課題。