GNOME 漏洞扫描复盘：AI 报告需人工验收与分流

10月2日，GNOME 项目公开了一份安全维护复盘，讨论漏洞扫描中 AI 生成报告的处理问题。该复盘指出，AI 扫描报告仍可能夸大严重性、伪造栈信息，或把非安全缺陷当作漏洞，这可能影响缺陷优先级的判断和修复资源分配。

围绕这类报告，材料提出提交前应验证复现、去重，并区分可信输入边界。从工程流程看，安全团队需要为 AI 扫描结果设置人工复核节点，而不是直接采信报告内容；漏洞入库前增加去重机制和可信边界评估，也有助于降低误报对维护者的消耗。

同时，材料建议项目不要仅因报告来自 AI 就拒绝接收，但强调该建议属于维护建议，并非统一新政策。项目的缺陷管理策略仍应基于技术有效性判断，而不是报告来源。这一区分对维护者处理外部提交时尤其重要，避免因来源偏见错失真实问题。

复盘还明确，AI 扫描不能替代人工审计。人工审计资源需要继续保留，并与 AI 扫描形成互补。换言之，AI 扫描更适合作为初步发现手段，最终确认仍需人工判断，尤其在伪造栈信息和可信边界这类问题上。

不过，公开材料并未披露具体涉及的 GNOME 组件或版本范围，也没有说明该建议是否适用于非 GNOME 项目。验证复现、去重和可信输入边界的具体操作标准同样未给出。因此，相关实践需要在项目内部进一步定义和权衡，尚未形成统一规范。