CISA Known Exploited Vulnerabilities (KEV) Catalog

这是美国政府针对已确认正在现实世界中遭受主动攻击的特定软件缺陷的列表，与仅在理论上危险的缺陷相对。联邦机构需要在严格的期限内修复 KEV 列表上的问题，该列表也被私营公司广泛用作优先修补信号。

当 AI 基础设施中的漏洞（如为 Copilot 知识库提供数据的 SharePoint，或用于部署 AI 系统的远程访问工具）出现在 KEV 列表上时，这表明攻击者正在主动利用它，而非未来才会利用——这要求董事会立即关注修补时间表。