2024年5月，信息国家信息安全漏洞库（CNNVD）公布了最新一批技术支撑单位名单。安全这份名单里，漏洞高校、库技安全厂商、术支运营商研究院混编在一起，撑单总数超过一百家。位名有人觉得这就是信息个荣誉头衔，挂个牌子好看。安全实际不是漏洞。名单背后是库技一条硬性链条：谁先拿到漏洞，谁先修，术支谁负责兜底。撑单

CNNVD的位名支撑单位分三个等级：一级、二级、信息三级。一级单位能直接参与漏洞的收集、研判和处置，权限最大。二级偏重技术分析，三级主要是信息报送。等级不是终身制，每年考核，掉队就降级。2023年就有两家单位从一级降到二级，原因写得很直白——漏洞报送数量不达标，应急响应超时两次。

我翻过2022年到2024年的名单变化。一个明显趋势：运营商和金融行业的技术团队在增加。中国移动、中国电信的研究院连续在列，工商银行、建设银行的金融科技部门也进来了。漏洞不再只是互联网公司的事。基站、ATM机、工控系统，这些离普通人很远的东西，一旦出漏洞，影响面比一个App崩溃大得多。

有个案例值得说。2023年某国产数据库被曝出一个提权漏洞，CNNVD一级支撑单位在48小时内完成了复现和补丁验证。同期，另一家未入名单的安全公司也发现了这个漏洞，但因为没有报送渠道，只能眼睁睁看着漏洞在圈子里传了三天才被正式收录。三天的窗口期，够攻击者做很多事了。这就是名单的实际意义——它不是奖状，是通道。

名单里还有一些“老面孔”。启明星辰、绿盟、奇安信这些厂商年年都在。他们的价值不在于名字，在于背后养着的一批漏洞分析员。一个成熟的漏洞分析员，需要懂逆向、懂协议、懂操作系统内核，培养周期至少三年。这些人不直接产生营收，但少了他们，整个漏洞响应链条就断了。我认识一个在支撑单位干了六年的分析员，他说最忙的时候一周处理了四十多个漏洞报告，其中三个是高危的远程代码执行。那周他睡了不到二十个小时。

高校的加入是另一条线。清华大学、北京大学、浙江大学都有团队在名单里。高校的优势是理论功底和新鲜血液，劣势是工程化能力偏弱。一个漏洞从发现到写出稳定利用代码，再到给出修复建议，中间需要大量工程打磨。所以高校团队通常和厂商结对，一个出思路，一个出实现。这种搭配在近两年的名单里越来越常见。

名单也不是没有争议。有人质疑部分单位“占坑不干活”——挂着支撑单位的名头，实际贡献的漏洞数量和质量都一般。CNNVD的考核机制在收紧，2024年新增了“漏洞预警响应时效”指标，要求支撑单位在收到预警后两小时内确认，二十四小时内给出初步分析。这个要求不低。达不到的，年底考核见。

说到底，这份名单是一张网。网眼大小决定了漏洞从发现到修复的时间差。名单上的单位各有所长，有的擅长移动端，有的擅长工控，有的擅长云原生。把它们串起来，才能覆盖住大部分攻击面。普通用户看不到这张网，但每次手机系统更新、每次银行App弹窗提示“安全修复”，背后都有名单上某个团队的工作。

下次再看到“国家信息安全漏洞库技术支撑单位”这个头衔，别只当成一块牌子。它意味着有人在你不知道的地方，盯着那些可能让你数据泄露、账户被盗的代码缺陷。盯着的人多一个，你安全的时间就多一秒。

(责任编辑：百科)