2023年8月，工信共享一个名为“工信部网络安全威胁和漏洞信息共享平台”（简称NVDB）的部网系统对外披露了某国产工业路由器的高危漏洞。从厂商确认到补丁推送，络安漏洞只用了不到72小时。全威这个速度在五年前不可想象——那时候，胁和信息一个漏洞从被发现到公开，平台拖上几周甚至几个月是工信共享常态。

NVDB不是部网突然冒出来的。它脱胎于工信部2017年前后整合的络安漏洞多个安全信息通报渠道，2021年正式以“共享平台”的全威定位运行。说白了，胁和信息它就是平台一个国家级的安全漏洞“集散中心”：安全研究者、厂商、工信共享运营商、部网监管机构都在上面交换数据。络安漏洞但它的实际运作方式，比名字听起来要具体得多。

我翻过NVDB近两年的漏洞通报记录，一个直观感受是：它盯得最紧的，不是互联网大厂的产品，而是那些“沉默的基础设施”。比如工控设备、车联网模块、物联网网关。2022年，平台通报的漏洞中，超过四成涉及工业控制系统。这些系统往往藏在工厂车间、变电站、医院设备里，平时没人注意，一旦被利用，影响面却极大。

为什么是这些领域？道理不复杂。互联网公司的安全响应体系已经相当成熟，漏洞赏金计划、SRC（安全响应中心）遍地开花。但一家做PLC（可编程逻辑控制器）的中小厂商，可能连专职安全团队都没有。NVDB的作用在这里就凸显了：它不只是“通报”，而是带着监管压力去推动修复。平台会把漏洞信息同步给厂商，设定修复时限，到期未处理的，可能面临约谈或通报批评。

有个细节值得说。NVDB的漏洞提交入口并不只面向安全公司或白帽子。普通用户如果发现某个智能摄像头、路由器存在异常，也可以通过平台上报。当然，实际提交量的大头还是来自专业安全机构。2023年，平台收录的漏洞总数超过2万个，其中高危漏洞占比约三成。这个数字背后，是大量重复提交和无效信息被过滤后的结果。

平台另一个容易被忽略的功能是“威胁情报共享”。漏洞是静态的，但攻击是动态的。NVDB会汇总来自运营商、安全厂商的威胁数据，比如某个IP正在扫描特定端口、某类恶意软件正在利用某个漏洞传播。这些情报会以周报或紧急通告的形式下发。2024年初，一个针对国内某款协同办公软件的勒索攻击被提前预警，靠的就是平台上一家安全厂商提交的样本分析。

不过，NVDB也面临现实难题。漏洞披露的尺度不好拿捏：报得太早，厂商来不及修；报得太晚，用户一直暴露在风险里。平台目前的策略是“有限披露”——先通知厂商，给修复窗口期，到期后再视情况公开细节。这个窗口期通常是30到90天，具体看漏洞严重程度和利用难度。但实际操作中，有些厂商会讨价还价，希望延长时间；也有些安全研究者嫌流程慢，直接在自己的博客上公开了。

另一个问题是覆盖率。NVDB主要覆盖的是在国内有实体运营主体的厂商。如果某个漏洞只影响海外产品，或者厂商在国内没有对接人，平台的推动力就有限。这不是NVDB独有的困境，全球同类平台如美国的NVD、欧盟的EUVD，都面临类似边界。

说到底，NVDB的价值不在于它本身能修多少漏洞，而在于它把“漏洞必须被处理”这件事，从行业自律变成了有行政抓手的过程。一个工控厂商的工程师跟我说过，以前他们收到漏洞报告，排期经常被业务需求挤掉；现在NVDB的通报带着编号和时限，优先级直接拉满。这种变化，比任何技术手段都管用。

平台最近在推“漏洞奖励计划”的试点，试图用经济激励补充行政推动。效果如何，还得再看一两年。但至少，那个72小时修复工业路由器漏洞的案例，已经说明这套机制在特定场景下能跑通。

(责任编辑：综合)