2023年7月，信息国家信息安全漏洞库（CNNVD）公布了最新一批技术支撑单位名单，安全总共187家单位入选。漏洞录这个数字比三年前翻了一倍还多。库技名单里既有老牌安全厂商，术支也有不少刚成立两三年的撑单初创团队。我翻了一遍，位名发现一个有意思的信息现象：做漏洞挖掘的团队越来越小，但提交的安全漏洞数量却越来越集中。

CNNVD从2009年开始运行，漏洞录技术支撑单位制度是库技它的核心机制之一。简单说，术支就是撑单CNNVD自己不养那么多漏洞分析人员，而是位名把国内做漏洞研究比较强的机构组织起来，形成一个协作网络。信息这些单位负责向CNNVD报送漏洞、参与漏洞验证和应急响应。作为交换，它们能拿到CNNVD的一手漏洞信息，在安全圈里这等于拿到了情报优先权。

入选不是挂个牌子就完事。CNNVD对支撑单位有考核，每年要报送一定数量和质量的漏洞。质量怎么衡量？看漏洞的危害等级、影响范围、是否属于原创发现。连续不达标的会被清退。2022年就有十几家单位被摘牌，其中不乏一些有点名气的公司。考核压力是实打实的。

技术支撑单位分三个等级：一级、二级、三级。一级支撑单位数量最少，大概二十来家，基本都是360、奇安信、绿盟这类头部企业。它们能参与CNNVD的漏洞评级和标准制定。二级是中间力量，以中型安全公司和高校实验室为主。三级数量最多，很多是专注某个细分领域的小团队，比如专做工控漏洞的、专做物联网固件的。这种分级不是按公司规模分的，是按漏洞贡献能力分的。我见过一个不到二十人的小团队，因为连续在国产数据库里挖出高危漏洞，直接被评为二级支撑单位。

漏洞报送这件事，听起来简单，做起来很磨人。一个漏洞从发现到确认，要经过复现、影响面评估、补丁验证好几个环节。有些漏洞涉及厂商配合，厂商不认，CNNVD就得介入协调。支撑单位在这中间扮演的是技术举证角色。2021年Log4j2漏洞爆发那会儿，国内几家支撑单位连夜分析，凌晨三点就把初步报告交到了CNNVD。这种响应速度，靠的是平时积累的自动化分析管道和漏洞库。

名单每年都在变。新面孔进来，老面孔出去。变化背后反映的是国内漏洞研究生态的迁移。早些年，支撑单位里做Web漏洞的占大多数。现在工控、车联网、AI框架的漏洞研究团队明显增多。有个做智能门锁安全的小团队告诉我，他们去年报了四十多个漏洞，全是硬件层面的，这在五年前根本没人做。

对于企业来说，入选CNNVD支撑单位名录，在投标和商务合作里是加分项。尤其是To G项目，甲方会看这个资质。但真正做漏洞研究的人，更在意的是能不能拿到CNNVD的漏洞共享数据。这东西不对外公开，只在支撑单位内部流转。有了它，做安全产品的能力会强一个档次。

名单本身不神秘，CNNVD官网就能查到。但名单背后的协作网络，才是这个制度真正的价值。漏洞这东西，单打独斗越来越难了。一个支撑单位发现漏洞，通过CNNVD的平台同步给其他单位，大家各自在自己的产品里加防护规则。这种联动效率，比各自为战强太多。