漏洞情报的结构化革命：AI 语义匹配企业资产

安全部门的一天，从"刷漏洞公告"开始

一家大型企业集团的安全部门，过去每天的工作从"刷漏洞公告"开始：安全工程师要人工盯守多个漏洞发布渠道，逐条判断"这条漏洞跟我司的资产有没有关系"，再手动通知相关系统负责人。漏洞多、人手少，响应速度长期被"人工盯守 + 人工判断"卡住。

现在，这条链路被 AI 重构：漏洞信息实时采集，NLP 自动清洗并结构化，AI 语义分析关联企业资产，命中即生成风险提示并推送到责任人。漏洞情报的采集、分析、预警全流程自动化——安全团队从"人肉盯漏"变成"重点处置"，响应速度大幅提升，人工监控负担显著下降。

背景与痛点

漏洞情报工作有三个行业共性的老大难。

一是漏洞数量爆炸，人工盯不过来。 每年公开披露的漏洞数以万计，分布在 CVE（Common Vulnerabilities and Exposures）、NVD（美国国家标准与技术研究院维护的国家漏洞数据库）、CNVD（国家信息安全漏洞共享平台）等多个权威来源。安全工程师要实时跟进所有渠道，几乎不可能；只能抽样关注，漏报在所难免。

二是漏洞描述是非结构化的，匹配靠经验。 漏洞公告通常是一段自然语言描述，涉及产品、组件、版本、攻击路径等要素。判断"这个漏洞是否影响我们资产"，需要先读懂公告，再对照资产清单，凭经验推断。新人难上手，老手也难免疏漏。

三是响应链路长，预警滞后。 从漏洞公开到内部预警，中间隔着"发现—研判—通知—处置"多个环节，人工流转耗时以天计。而攻击者往往在漏洞公开后数小时内就尝试利用，时间窗口越小，风险越大。

对企业集团而言，资产规模越大、系统越多样，漏洞关联分析越复杂。安全部门需要的不只是"更多数据"，而是"把数据变成能直接行动的预警"。

我们怎么做的

项目围绕"采集—结构化—关联—预警"四步，把漏洞情报链路整体自动化。

第一步，实时采集。 对接 CVE、NVD、CNVD 等权威漏洞库，以及厂商安全公告等多源渠道，实时同步最新漏洞信息，覆盖公开披露的第一时间窗口。

第二步，NLP 清洗与结构化。 用自然语言处理技术对漏洞公告进行解析：抽取漏洞编号、影响产品、组件、版本范围、危害等级、攻击向量等关键要素，把一段段非结构化文本转化为结构化数据，形成统一的漏洞情报库。

第三步，AI 语义分析关联企业资产。 这是整个方案的核心。把结构化漏洞情报与企业资产清单（系统、中间件、数据库、终端等）做语义匹配——不是简单关键字比对，而是理解"这个漏洞描述的组件"与"我们资产清单里装的组件"之间的真实对应关系，包括版本范围是否命中。命中即判定为该资产存在安全隐患。

第四步，风险提示与闭环处置。 识别出的安全隐患自动生成风险提示，按危害等级分优先级推送给对应系统责任人；处置结果回填系统，形成"发现—预警—处置—关闭"的闭环，安全态势一目了然。

在工程落地上，项目强调"宁可多提示、不可漏提示"：语义匹配采用宽松阈值 + 人工复核兜底，避免漏报；对不确定的匹配，生成"待确认"清单由安全工程师快速甄别，确保预警准确性与覆盖率的平衡。

落地效果

• 响应速度大幅提升：漏洞从公开披露到内部预警，从人工流转的天级压缩到自动化推送的分钟级，抢占漏洞利用的时间窗口。

• 人工监控负担显著下降：安全工程师从"盯守多源 + 逐条研判"中解放出来，聚焦高风险漏洞的处置与复核。

• 覆盖更全、漏报更少：多源实时采集 + 全量语义匹配，替代人工抽样关注，漏洞情报覆盖面显著扩大。

• 安全管理成本降低：全流程自动化减少重复劳动，安全团队可以用更少的人手覆盖更大的资产面。

• 处置闭环可追溯：从预警到关闭全程留痕，安全态势可度量、可复盘，为安全管理提供数据支撑。

经验沉淀：从项目到 OntiCards

这个项目沉淀了三条可复用的方法论。一是"结构化是自动化的前提"：NLP 把非结构化公告转成结构化数据，后续的匹配、预警、统计才有基础。二是"语义匹配优于关键字匹配"：理解"组件与版本"的真实对应关系，才能减少误报与漏报。三是"自动化要配人工兜底"：宽松阈值 + 待确认清单，让机器跑量、人控质量。

这些经验沉淀下来，成为 OntiCards 在安全与风控方向的解决方案能力。更广地看，把外部情报结构化、再与企业内部知识做语义关联——这与 OntiCards "把数据变成 AI 可理解的资产"的四层架构是同一套逻辑；关于"AI 就绪的数据"应该长什么样，可以参阅数据资产就绪度。