漏洞正在加速，
AI 改变了什么？

按 cveMetadata.datePublished 的 UTC 日期聚合，排除 REJECTED 和未来日期。CVE 编号中的年份不作为披露年份。机构字段是 assigner / CNA，不能识别实际发现者的全部贡献。日速率采用真实日历天数；本年和本期标记为未完结，不直接对比完整年总量。

发布前窗口为 [发布日期 − W 天, 发布日期)，发布后为 [发布日期, 发布日期 + W 天)，均不包含右边界。比较数值为记录总数 / W；变化率为 (后 − 前) / 前。当前 UTC 日不完整，未结束窗口显示不可比较，不年化外推。

这是描述性事件窗口，不是因果效应。重叠模型、季节性、CNA增长、Linux等批量披露、政策与研究投入、检测覆盖变化均可能混杂。没有统一的挖掘开始时间，无法画全球“发现速度”曲线。缺测数据不填零。

Verizon DBIR 的第三方因素占比大于恶意包供应链攻击的范围，报告年份往往晚于实际事件。Sonatype恶意包数量不等于独立攻击活动数。APT 报告量不等于攻击次数；厂商自报 AI 使用情况保留归因和样本限制。

不将不同机构、不同分母的威胁数据合成“全球攻击指数”。实验成功率不直接转换为全球攻击成功率；模型发布日只是观察标记。

本 Cloudflare 站点每日自动采集 CVE、KEV 与厂商 RSS；关联云端研究任务每日搜索模型发布和威胁研究，读取一手原文、核对日期与结论，去重后签名同步。无需保持页面打开，也无需人工维护。RSS 标题只作线索；自动核验属于公开资料研究，不等于独立复现实验。每轮保留实际核验来源、无法读取的页面及排除理由；没有新增也留记录。新报告作为新版本保留，不覆盖旧报告的观察口径。