政策与治理动态：NIST就AI漏洞管理征集反馈推进NVD现代化、欧盟AI法案8月2日正式进入执法阶段

本周AI治理迎来”一前一后”两条动态：前端的漏洞管理——NIST于8月12日发文，就利用AI能力清理国家漏洞数据库（NVD）积压、重塑漏洞管理流程向社会征集反馈；后端的执法落地——欧盟委员会自8月2日起正式启动AI法案执法，AI透明度规则同步生效，而AI Omnibus法案已将高风险AI义务推迟至2027至2028年。从漏洞数据库到通用AI执法，AI治理正在从”框架制定”进入”工具化运营”阶段。

主要新闻

NIST就AI赋能漏洞管理征集反馈，推进NVD现代化

NIST网络安全洞察博客8月12日发表Harold Booth与Jon Boyens的署名文章《Shaping the NVD for the Future: We Need Your Feedback on AI-Enabled Vulnerability Management》。文章指出，作为美国国家漏洞数据库（NVD）的运营方，NIST正探索借助AI能力应对长期困扰社区的漏洞积压问题——近年来NVD在CVE收录、分析与补充结构化数据（CVSS评分、CPE匹配等）环节出现大量积压，直接影响安全团队的风险评估与补丁优先级判断。NIST的设想是引入AI辅助的漏洞分析与富化流程，同时保持人类审核与质量控制，并就此公开征求公众意见，包括通过《联邦公报》（Federal Register）发起的意见征询（RFI）机制收集学界、业界与安全社区反馈。文中强调，任何AI应用都必须建立在透明、可审计、可校验的基础上，避免”自动化扩大错误”；NVD未来形态的讨论涉及数据格式、自动化边界、社区协作模式以及AI在漏洞数据生命周期中的角色等议题。此次反馈征集标志着NVD现代化从”内部工程问题”转向”公开治理议题”，安全社区对其自动化走向的意见将直接影响美国乃至全球漏洞情报生态的数据基础。

Source: Shaping the NVD for the Future: We Need Your Feedback on AI-Enabled Vulnerability Management

欧盟AI法案8月2日起正式执法：透明度规则生效、高风险义务延期

欧盟委员会于7月31日发布新闻稿，确认自8月2日（2026年）起，欧盟委员会AI办公室与各成员国主管机构开始执行《人工智能法案》（EU AI Act）。同日，法案的透明度条款（第50条）正式生效：聊天机器人等交互式AI系统必须告知用户其正在与AI而非人类交互；深度伪造（deepfake）等经AI生成或修改的图像、视频与音频必须标注。通用AI模型（GPAI）的执法权限（含最高1500万欧元或全球营业额3%的罚款）也自8月2日起启用。与此同时，欧盟”AI Omnibus”简化法案已于7月27日生效，重新划定高风险AI的实施时间表：用于生物识别、关键基础设施、教育、就业、移民与边境管控等特定高风险领域的系统，其义务自2027年12月2日起适用；嵌入电梯、玩具等受部门立法约束产品的AI系统则自2028年8月2日起适用——理由是确保配套技术标准与支持工具就绪后再要求企业合规。AI生成内容的水印义务则推迟至2026年12月2日，届时需以机器可读方式标注AI生成内容。被禁止的不可接受风险AI（社会评分、操纵性技术等）自2025年2月起已可执行，最高罚款达3500万欧元或全球营业额7%。这轮”先执后延”的节奏意味着：企业短期最紧迫的合规对象是透明度与GPAI相关义务，而高风险AI的全面合规窗口被延长至2027至2028年。

Source: Commission starts enforcing AI Act rules and new transparency requirements on 2 August

分析

NIST与欧盟的动态看似领域不同（漏洞数据库 vs. AI监管），实则共享同一个深层命题：AI时代的治理能力必须借助AI本身。NVD积压问题的本质是”结构化富化”环节的人力瓶颈——CVSS评分、CPE匹配、参考数据整理都需要大量人工，而CVE数量持续增长使队列只增不减。NIST将AI引入这一环节的设想，实质上是在”自动化的效率”与”数据质量的底线”之间寻找平衡点：AI负责批量初步分析，人类保留最终审核与判定权。对安全社区而言，NVD未来走向（是否引入AI富化、如何保证可审计性、社区如何参与）将直接决定全球漏洞情报的时效与质量——这比任何单一产品的漏洞扫描能力都更具基础性影响。

欧盟AI法案”8月2日执法”则展示了监管落地的典型节奏：不可接受风险早于一切（2025年2月）、GPAI义务先行（2025年8月适用、2026年8月执法）、透明度规则同步生效（2026年8月），而合规成本最高昂的高风险义务被AI Omnibus推迟到2027-2028年。这套”先易后难、先快后重”的时间表，实质是监管者为平衡创新与安全而采取的务实策略——在技术标准与评估基础设施就绪之前，不强制企业承担难以完成的义务。但”推迟”不等于”软化”：12月2日的首个执行起点（高风险领域）、12月2日的水印义务，以及已然生效的透明度与GPAI执法，共同构成企业必须立即应对的合规面。

两条新闻合在一起看，AI治理正进入”工具化运营”阶段：监管机构不再只是发布框架，而是开始运营具体工具（NVD AI化、AI执法团队与透明度检查）；企业的应对也从”阅读政策”转向”建立可审计的AI与漏洞管理流程”。对中国企业与出海主体而言，欧盟的透明度与GPAI义务（即使不设欧洲实体，向欧盟市场提供或使用AI输出的组织也可能被覆盖）需要提前纳入合规清单。

值得跟踪的信号：其一，NIST对NVD AI化的反馈征集将吸引大量社区意见，其最终方案（AI富化+人工审核）的边界划分值得研究；其二，欧盟AI办公室与各国监管机构在透明度条款上的首批执法案例，将确立”告知用户”与”深度伪造标注”的执法口径；其三，AI Omnibus推迟后的技术标准进度——2027年12月前CEN/CENELEC是否就绪，将决定高风险义务能否按期落地；其四，美国联邦与州在AI监管上的分歧（”谁治理AI”之争）是否会影响NVD这类联邦机构工具的推进节奏。

结论

本周AI治理动态呈现出”前端的自动化重构”与”后端的执法落地”并进格局：NIST以AI清理漏洞数据积压并公开征集反馈，标志着国家基础设施级的漏洞管理走向AI工具化；欧盟以”先执后延”的时间表启动AI法案执法，短期重点是透明度与GPAI合规，高风险义务留待2027-2028年。对从业者而言，最紧迫的行动是：将AI透明度与GPAI义务纳入合规基线，同时跟踪NVD AI化的数据质量与接口变化，以支撑自身漏洞管理决策。