AI分诊CVE与人工审查：云内核安全体系的边界与应对

不能将安全体系完全依赖大模型，核心结论是：自动化过滤与AI智能体仅作为辅助分类手段，最终裁定必须由人工完成。 技王数据恢复

如何区分自动化处理与人工审查的边界

• 自动化过滤阶段：基于JSON格式的CVE记录，通过检查内核版本是否在受影响范围内、以及列出的源文件是否被构建进镜像，利用规则脚本排除无关项。在特定环境中，此步骤可排除约70%的CVE，但准确率高度依赖具体的内核配置。
• AI智能体辅助：对于剩余的CVE，AI接收内核源码、平台配置及威胁模型，生成包含受影响子系统、漏洞类型和攻击途径的分类表格。AI在此过程中仅充当“高级分类器”，不直接做出安全决策。
• 人工审查环节：由工程师审核AI生成的表格，结合具体环境判断风险。尽管AI处理速度较快（约3.4秒/CVE），但人工审查仍是流程中最耗时的步骤，且团队明确表示不会取消该环节，以避免将安全体系完全押注于大模型输出的潜在误差（估计5%-10%的决策问题）。

哪些情况仍不能确定或存在风险

• 配置依赖的不确定性：自动化过滤的效果取决于内核配置。若配置复杂或包含大量非必要功能，过滤准确率可能波动。
• 旧版LTS内核的滞后性：较旧的长期支持（LTS）内核分支获得修复的时间更晚，且累积了更多未反向移植的CVE。例如，Linux 5.10分支中存在大量已知未修复CVE，而新版6.18分支中数量显著较少。
• 反向移植的风险：手动反向移植修复程序存在遗漏前置提交的风险，可能导致即使应用了修复，系统仍存在漏洞。此外，禁用不必要的内核功能虽能减少CVE数量，但操作不当可能导致性能回退或后续缺陷。

下一步如何处理

1. 优化内核配置：审查并禁用不需要的内核功能，以减少适用的CVE数量，但需谨慎评估对性能和稳定性的影响。
2. 加速内核升级：缩短内核升级周期，从旧版LTS迁移至较新的LTS内核（如从5.10迁移至6.18），以获取及时的安全修复。团队计划在新LTS版本发布时迁移整个服务器集群，并进行全年持续测试。
3. 保持人工审查机制：无论自动化工具如何发展，必须保留人工工程师对AI分类结果的审核环节，确保最终决策符合具体业务环境和安全标准。
4. 关注官方动态：留意Linux内核项目及云服务商（如AWS、Azure）发布的最新安全建议和工具更新，特别是关于CVE分诊流程的开源可能性及最佳实践。

技术审核：邓严军｜技王数据恢复实验室技术总监 www.sosit.com.cn