截至 2026-07-15 08:38 UTC，白宫称新设的 Gold Eagle 网络安全协调中心已开始接收软件漏洞并排定优先级，同时协调开展验证性扫描，安排政府、关键基础设施和开源软件领域的补丁工作。6 月 2 日发布的行政命令要求在 30 天内设立一个自愿参与的协调中心；国家网络总监 Sean Cairncross 告诉记者，Gold Eagle 已于 7 月 2 日正式启动。[1][2][3]

这项行动确实让命令进入实际运行阶段。面向公众的运行记录尚未随之建立。

启动材料没有列出参与企业或开源组织，没有链接至 Gold Eagle 专用报告渠道，也没有公布敏感发现的处理规则、分流研判方式，以及已有多少报告得到验证、多少相应漏洞完成修补。独立报道补充了若干信息，包括财政部的管理职责和软件工程研究所（SEI）开发的报告平台，完整的公开章程仍然缺席。[4][5]

在零日漏洞细节继续受到保护的前提下，问责缺口仍可填补。Gold Eagle 需要公开各环节的衔接规则和汇总结果，流转其中的漏洞细节可以继续保密。

启动记录

Gold Eagle 要解决什么

行政命令首先指出的是协调难题，随后才触及模型问题。多个 AI 系统可以扫描同一款广泛使用的软件，重复发现同一个缺陷，再分别生成报告。接下来还需要有人确认这种行为能否复现，找出所有受影响的供应商和下游用户，判断紧迫程度，在修复期间保护细节，测试补丁，并在不破坏现有系统的前提下完成分发。[2]

Gold Eagle 使用的动词正好对应这条链条：消除冲突、发现、验证、协调、排定优先级、分发。发现只是其中一个阶段。若系统让发现数量成倍增长，却没有同步扩充验证能力和维护者人力，防守方将更加忙碌，软件安全却不会随之改善。

这类能力已经脱离纯粹的假设。2025 年 8 月，在 DARPA 受控举行的 AI Cyber Challenge 决赛中，七支队伍的网络推理系统检查了超过 5,400 万行代码，在 63 个合成漏洞中发现 54 个，并修补了其中 43 个；这些系统还找出 18 个真实的非合成漏洞。各队为真实漏洞提交了 11 个补丁，竞赛中的补丁平均在 45 分钟内交付。[6]

这些数字证明了技术潜力，不能作为 Gold Eagle 的基准。AIxCC 采用计分竞赛环境、已知的挑战项目、受控访问条件和主办方规定的披露流程。现实中的关键基础设施还要面对旧版本、专有依赖、安全约束、分散的所有权，以及无法压缩到竞赛补丁速度的维护窗口。由此能够得到的启示更窄：发现数量可以迅速上升，协调质量随之成为瓶颈。

公开问责仍缺哪些环节

1. 谁参与其中，谁承担责任？

白宫点名财政部、CISA、国土安全部、战争部和白宫，随后笼统提到开源合作方、关键基础设施企业和其他行业参与者。[1] CyberScoop 将日常管理职责归于财政部；Nextgov 则指出，公开新闻稿本身没有指定运行主管方。[4][5]

敏感的访问安排可以继续保密，基本责任图则应向外界公开，其中包括项目主管单位、行业协调方、验证责任方、披露协调方、升级处理责任方，以及决定案件结案的一方。缺少这张图，维护者便无法判断 Gold Eagle 究竟是一条新增报告渠道、统筹现有渠道的上层协调方，还是接收本应继续投往其他渠道的报告的政府机构。

2. 接收与披露遵循什么约定？

CyberScoop 报道称，白宫官员提到一个由 SEI 开发、在报道中写作 VINTS 的平台，用于接收第三方提交的 AI 发现漏洞报告。[5] 软件工程研究所已经运营由 CISA 资助的 VINCE 环境；VINCE 设有公开首页和账户入口，报告者无论是否持有账户，都可以从相应渠道提交漏洞。[11]

Gold Eagle 的官方新闻稿没有链接至上述任何一个名称。因此，仅凭公开文件，外界无法确认报道中的 VINTS 是独立于 VINCE 的平台、VINCE 的扩展或部署版本，还是吹风会记录里的名称出入。这一区别不应靠猜测。一个项目专用页面加上一条链接，就能澄清两者关系，并说明哪些现有政策继续适用。[1][5][11]

NIST 的联邦漏洞披露指南已经给出一份现成的核对清单。指南建议制定面向外部的公开政策，说明报告方式、适用系统范围、确认收件与解决问题的预期、研究人员可以探测到何种程度、机密材料如何受到保护，以及遵守规定的研究能否免受法律追究。指南还提出，内部应有跟踪、协调、修复和沟通程序。[7]

Gold Eagle 是否已在内部制定此类规则，公开资料无法确认。本文能够确认的范围更窄：这些规则没有出现在项目的公开启动记录中。在相关链接发布之前，研究人员或维护者不能仅凭“协调中心”这个名称推定安全港、保密承诺或暂缓披露期限。

3. “优先级”如何落实为决策？

白宫承诺提供排定优先级、可供落实的修复信息，却没有公布决策因素。[1] 现行联邦实践表明，优先级可以在不披露活跃漏洞利用细节的情况下得到清楚说明。CISA 公开的已知遭利用漏洞（Known Exploited Vulnerabilities）数据，将有证据显示已在现实环境遭利用的漏洞，与数量更庞大的已披露弱点区分开来。[8] 公开的 SSVC 方法还纳入利用状态、技术影响、任务普及度（mission prevalence），以及对安全或公众福祉的影响等因素，最后给出行动类别，而不依赖一个脱离环境的严重性数字。[9]

Gold Eagle 可以另定方法，也可以调整上述体系；无论选择哪一种，都应说明队列排序是否取决于活跃利用、关键系统覆盖面、补丁可用性、安全后果、模型置信度、重复证据，或这些因素的组合。缺少这层说明，“已排定优先级”仍只是形容词，尚未成为可复现的运行选择。

4. 新增工作由谁消化？

OpenSSF 与 Cloud Native Computing Foundation 在 2026 年发布的指南警告，AI 生成的贡献内容和漏洞报告会给开源项目带来过载风险，其中包括模型幻觉产生的发现和被夸大的严重性主张。[10] 这项风险会直接落在 Gold Eagle 的验证环节。把十个模型的输出一并发给无偿维护者，会带来近似拒绝服务的负担；即使冠以官方项目之名，也没有消除冲突。

因此，公开指标看板应统计发现数量以外的指标。可用指标包括重复率、验证通过比例、维护者确认收件的时间中位数、附带可复现测试的比例、补丁接受率、向受影响下游发送受保护通知所需时间，以及撤回的误报数量。汇总报告可以显示 Gold Eagle 究竟替维护者减少了工作，还是只把更多工作转交给他们。

决策影响

未来 24 小时： 软件维护者、研究人员和基础设施运营方应将 Gold Eagle 视为一个已经运行的政府与行业合作项目；就公开信息而言，它尚未取代项目安全联系人、VINCE 或既有的协调披露渠道。只有在地址或表单的所有者、适用范围和处理条款均明确时，才应向其提交敏感的漏洞利用细节。[1][7][11]

未来 7 天： 财政部及其合作方应发布一个最低限度的项目页面，列明运行主管方、参与组织或参与标准、报告渠道、案件范围、数据处理与保留规则、安全港界限、与 VINCE/CISA/CVE 流程的关系、争议解决渠道，以及供收到重复报告的维护者联系的窗口。

未来 30 天： Gold Eagle 应发布汇总基线，涵盖收到的报告、剔除的重复项、已验证的发现、已联系的维护者、提出的补丁、获接受的补丁、已经披露的案件，以及仍处于暂缓披露期的案件。DARPA 已经证明，在真实漏洞继续遵循负责任披露安排的同时，仍可公布有意义的总量和流程指标。[6]

协调中心的三种走向

基准走向——有用但范围有限的协调试点。 一小群政府机构、AI 公司和基础设施运营方把高置信度的发现交由人工验证，再送入现有披露渠道。触发信号是发布由具名主管方负责的章程，以及首批汇总案件数据；成功的标志在于重复联系减少、交接留有记录，发现数量庞大本身不算成果。

较好走向——发现能力配有维护者人力。 Gold Eagle 为验证和补丁工程投入资金，让项目收到一个协调后的案件，免于面对多份原始报告，并将风险信号与关键基础设施的暴露情况联系起来。触发信号是有证据显示，经过验证的发现附带复现步骤、测试过的补丁和面向受影响维护者的支持，随后出现可衡量的补丁采用情况。

较差走向——“快速发现”跑赢“安全修复”。 自动扫描器生成噪声较多或彼此重叠的报告，敏感细节在规则不明的渠道中流转，维护者则成为无偿的分流研判层。触发信号包括：接收量上升，验证和补丁完成量却未同步增加；公开报道出现重复或低质量提交；或下游用户尚未来得及修复，漏洞便因本可避免的原因遭到披露。[7][10]

行动与失效条件核对

• 先公布运行章程，再把有关速度和规模的宣传主张视为绩效证据。
• 为每个案件指定一名责任明确的协调人，并让报告者、维护者、供应商和受影响行业在每次交接中看到同一个状态。
• 所有指标均须区分 已发现、已验证、已修补、已接受、已部署 和 已公开披露；这些状态不可互换。
• 保留运作良好的项目既有安全联系渠道；协调中心应消除重复项并协调跨越多家供应商的案件，维护者仍处在流程之中。
• 在报告成功案例的同时，也报告误报和已撤回的发现，以便评估模型与验证质量。
• 保护漏洞细节，并按固定频率公布汇总处理量、案件存续时长和结案数据。
• 如果 Gold Eagle 发布项目专用页面，说明主管方、接收渠道、处理保护、优先级逻辑、参与者或参与标准，以及结果指标，本文应随之修订。届时，公共问责缺口的大部分将得到弥合；单凭这一页面，仍无法证明补丁速度更快或过程更加安全。

Gold Eagle 在行政命令规定的期限内完成了设立。下一项公信力检验落在另一处：协调中心能否把机器速度的发现转化为人类可以验证、维护者得到支持的修复成果，并让公众在不接触漏洞本身的情况下衡量这一转化过程。

来源

1. 白宫，“White House Launches Gold Eagle Initiative for Unprecedented Cybersecurity Vulnerability Coordination”（2026 年 7 月 14 日）——官方启动主张、参与机构、未具名合作方类别以及所称的运行活动。
2. 《联邦公报》，第 14409 号行政命令“Promoting Advanced Artificial Intelligence Innovation and Security”（2026 年 6 月 2 日）——30 天协调中心设立要求、自愿参与安排，以及从发现到补丁的必要职能。
3. Associated Press，“The Latest: Justices testify about Supreme Court security in rare appearance before Congress”（2026 年 7 月 14 日）——关于 Gold Eagle 公告的独立报道，以及 Cairncross 所述 7 月 2 日投入运行日期。
4. David DiMolfetta 与 Alexandra Kelley，Nextgov/FCW，“White House announces ‘Gold Eagle’ AI clearinghouse for cyber vulnerabilities”（2026 年 7 月 14 日）——对尚未披露的参与情况、案件数量、处理方式及项目整合细节所作的独立梳理。
5. Derek B. Johnson，CyberScoop，“White House details ‘Gold Eagle’ clearinghouse for AI cyber threats”（2026 年 7 月 14 日）——财政部管理职责、SEI 平台说法、已开始接收报告的主张和吹风会背景。
6. 美国国防高级研究计划局，“AI Cyber Challenge marks pivotal inflection point for cyber defense”（2025 年 8 月 8 日）——受控 AIxCC 的结果、披露范围，以及真实活动照片的来源页面。
7. 美国国家标准与技术研究院，SP 800-216: Recommendations for Federal Vulnerability Disclosure Guidelines（2023 年 5 月）——外部政策、安全提交漏洞、跟踪、修复与沟通方面的建议。
8. 美国网络安全和基础设施安全局，cisagov/kev-data——已知遭利用漏洞目录的官方公开数据与架构，可作为风险优先级排序的一项输入。
9. CERT Coordination Center，CERTCC/SSVC——面向相关方的漏洞分类（Stakeholder-Specific Vulnerability Categorization）公开决策模型和文档。
10. Open Source Security Foundation 与 Cloud Native Computing Foundation，Securing Open Source in the Age of AI: A Practical Guide（2026 年 5 月）——关于 AI 生成报告过载、模型幻觉和严重性夸大的维护者指南。
11. CERT Coordination Center，“Vulnerability Information and Coordination Environment (VINCE)”——由 CISA 资助、面向公众的报告与协调入口。