The Large Project Bias of CVEs

我只看到了标题和摘要，没抓到原文正文，这让我有点遗憾，因为“大型项目偏差”这个词本身就有太多值得展开的地方。标题叫 The Large Project Bias of CVEs，CVE 是通用漏洞披露，大型项目偏差，说的应该是漏洞披露体系里对大型开源项目的一种系统性倾斜。

这个偏差其实很微妙。大型项目，比如 Linux 内核、OpenSSL 或者某个广泛使用的库，每天都有无数双眼睛盯着，有专门的团队做安全审计，有成熟的漏洞报告流程。它们的 CVE 编号来得又快又全，一个漏洞从发现到分配编号，路径清晰得如同高速公路。可那些小项目呢，可能只有一个维护者，没有 CI 流程，没有安全邮件列表，漏洞藏在代码里几个月甚至几年都没人发现。即便有人发现了，也未必知道该去哪里报告，未必有资格获得一个 CVE 编号。

于是我们看到的图景就有了偏差：大型项目的漏洞统计数字高高耸立，仿佛它们漏洞更多、风险更大。但这可能只是曝光度造成的错觉。小项目的漏洞不是不存在，而是没人去数。它们沉在水面之下，像一片看不见的暗礁。这让我想起一个朴素的道理，你关注什么，什么就会变大。CVE 体系关注大项目，大项目就占据了漏洞统计的版面，而小项目的安全状况，永远只是“未观测”的状态。

这种偏差带来的后果，恐怕比我们想象的要深远。安全研究者倾向于研究那些能出名的项目，企业安全团队优先扫描依赖树里的大节点，漏洞赏金计划也总盯着大厂的产品。小项目被遗忘了。如果有一天你发现生产环境里某个不起眼的库存在致命漏洞，而它连一个 CVE 编号都没有，那时候你才会意识到，所谓的漏洞数据库，原来只是大项目的一面镜子。

当然，这只是我基于标题和摘要的一点推想。原文里可能有具体的统计方法和案例，我没读到，就不替它编故事了。只希望这篇短讯能让你对“大型项目偏差”这个词多留一个心眼，下次看到漏洞统计的时候，多问一句：那些没被统计进去的，又是什么。

原文：

The Large Project Bias of CVEs · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年11月10日