Apex KEV 变更工作台

一个面向 IT 团队的离线变更审查原型，用于比较两份 CISA 已知被利用漏洞（KEV）JSON 快照。它会报告新增、删除和修改的记录，包括每个变更字段的确切前后值。它是一个数据审查工具，而非安全评估。

免费原型。未声称拥有客户、付费服务或需求验证。在 AI 协助下开发。与 CISA 无关联，也未获得其认可。

试用并分享工作流反馈

运行下面的合成示例，或比较两份已保存的公开目录快照。分享工作流反馈：你当时试图完成什么审查任务，这是否帮你省去了一步手动操作？反馈是公开的，会暴露你的 GitHub 身份。请勿包含私有资产清单、客户名称、凭据或事件详情。为 Apex 项目发布；AI 辅助原型及反馈收集。不承诺付费试点或响应时间。

输入限制：十进制和指数形式的 JSON 数字会被拒绝，包括扩展字段中的数字。整数会被精确保留。不保证未来 schema 可用。请勿修改源值以绕过此限制。

运行

Python 3.10 或更高版本。仅使用标准库。无需账户或安装。

python3 kev_diff.py examples/before.json examples/after.json > review.json
python3 kev_diff.py examples/before.json examples/after.json --vendor 'Example Vendor' > vendor-review.json
python3 kev_diff.py examples/before.json examples/after.json --format markdown > review.md
python3 -m unittest discover -s tests -v

示例目录是合成的，并非当前的漏洞信息源。它展示了一条新增记录、一条编辑记录和一条删除记录。编辑记录更改了一个截止日期和一个未知的扩展字段。后台不会运行任何内容。

对于真实数据，请自行从 CISA 目录 或其官方镜像下载并保留连续的 JSON 快照。检查来源和下载日期。先传入较早的快照。此工具不会获取来源、建立真实性、判断目录是否完整，也不声称自身是最新的。文件 SHA-256 值支持可复现性，而非身份验证。

离线发布检查

从检出目录运行 python3 -B scripts/verify_release.py。它会运行捆绑的合成测试，将 JSON 和 Markdown 示例与捆绑的预期输出进行比较，并检查无效的重复键输入不会生成报告。如果未发现任何测试，则失败。退出码 0 表示这些验收检查通过；退出码 1 表示失败。它会打印 JSON 摘要以及所列核心/示例文件和支持文件的哈希值，且不获取数据。临时无效输入文件会在操作系统的临时目录中创建和删除；捆绑的运行器/测试不会有意编辑检出目录；-B 阻止正常的字节码写入。

这会执行检出目录中的 Python 代码，包括其测试。在运行之前，请检查并信任该代码。通过检查和文件哈希并非安全审计、软件签名、来源真实性证明、暴露评估或客户证据。不要将其输出重定向到源文件或示例文件上。

读取输出

JSON 是默认格式。--format markdown 会生成人类可读的审查报告，包含计数、快照来源、限制、元数据变更，以及每个匹配变更的完整前后记录。它不会添加分析或更改比较结果。源值保留在 JSON 代码块中；动态调整大小的围栏可防止嵌入的反引号在普通 Markdown 渲染器中逃逸出这些代码块，但并非所有查看器都如此。请在您信任的查看器中打开 Markdown。在分享之前审查报告：其中包含匹配变更的完整前后记录、元数据变更和供应商过滤器。对于此可选格式，请将 markdown_report.py 与 kev_diff.py 放在一起。

报告的含义

• added：仅存在于所提供的 after 文件中的 CVE ID。
• removed：仅存在于 before 文件中的 CVE ID。并非修复或安全的证明。 不完整的 after 文件可能导致大量表面上的删除。
• changed：至少有一个记录字段不同。前后值、字段存在标志和完整记录均被保留。
• 此版本未知的字段会被保留并比较。对象键顺序被忽略；数组顺序有意义。
• 目录级元数据变更会单独报告，即使使用了供应商过滤器。
• --vendor 是对 vendorProject 的精确、不区分大小写的匹配，针对任一快照。它不是模糊匹配或已安装产品检测。省略它会比较完整的所提供目录。
• 零记录变更并不能证明不存在漏洞。后续信息源可能保留相同的记录。
• 日期和来源操作按数据原样复制。CISA 截止日期并非通用的客户截止日期。请遵循权威供应商指南和适用于您组织的规则。

切勿将输出重定向到任一输入文件。 例如，> before.json 会在 Python 读取该源文件之前将其截断。请使用新的输出文件名。

退出码 0 表示生成了有效的比较结果，包括无变更结果。退出码 2 表示无效输入或文件错误；程序不会生成报告。如果您使用 shell 重定向，您的 shell 即使在出错时也可能创建一个空输出文件，因此在替换之前的报告之前请检查退出码。

隐私与限制

所有文件处理均在本地进行。无网络请求、遥测、存储账户、自动警报、扫描、利用、修复或商店集成。您保存的文件保留在您的设备上。报告包含所提供的记录和供应商过滤器；分享前请先审阅。每个文件的最大输入大小为 20 MB。无效的 UTF-8、重复的 JSON 键/ID、无效日期、计数不匹配以及发布时戳倒置都会被拒绝。未知字段会被保留，不进行模式验证。快照中任何位置的十进制和指数形式的 JSON 数字都会被明确拒绝，包括扩展字段，以避免静默舍入数值。整数 JSON 数字会被精确保留。请勿修改源值以绕过此限制。这以牺牲向前兼容性换取精确性：未来包含十进制/指数值的官方数据源将被拒绝，直到添加支持为止。必需字段遵循当前官方模式，但这并非完整的 JSON Schema 实现。

验证

v0.1.1 通过了 45 项合成测试；v0.1.0 包含 43 项。2026 年 10 月 14 日，该原型加载了官方镜像快照，其 catalogVersion 为 2026.10.13，包含 1,741 个条目，dateReleased 为 2026-10-13T19:10:43.6568Z。将该快照与其自身比较，返回零条记录变更。这仅证明与该单一快照的输入兼容性，并不证明真实性、暴露情况，或对两个连续真实数据源的正确处理。其 SHA-256 为 136904f12e4c6762e526352e3a67ed7b28cd21b4d82bed9c91719ff2e94f2f28。

替代方案与商业状态

CISA 已提供免费目录。其官方仓库 README 链接了一个交互式提交变更仪表板。其他开源差异和监控工具也已存在。该原型探索了一种狭窄的离线、字段级审阅工作流。未声称拥有独特市场、商户验证、安全认证、付费警报服务或付费意愿。任何未来的托管交付或付费产品都需要单独的验证和运营控制。

来源

• 官方 CISA 目录：权威来源和优先级排序输入。
• 官方 CISA 数据镜像：可下载的 JSON、模式、历史记录、仪表板和 CC0 数据许可证。源数据仍受其自身条款约束。本版本仅捆绑合成记录。
• myseq/cisa_kev_utils：现有的每日快照和差异实用工具。
• hahwul/kev.cr：现有的解析/查询/差异库。
• quantumcore/kev_monitor：现有的带桌面通知的变更监控器。

许可证

原型源代码：MIT，参见 LICENSE。未使用 CISA 徽标、印章或背书。

v0.1.1 中的时戳验证

v0.1.0 接受格式错误的 dateReleased 偏移分量，例如 +00:60；v0.1.1 在比较前会拒绝它们。未声称存在漏洞/暴露或更改了有效偏移的结果。偏移小时必须为 00-23，分钟必须为 00-59。-00:00 在排序时归一化为零；原始时戳字符串仍保留在报告中。这并非关于源时区认知的声明。

v0.1.1 源代码包含 45 项合成测试（v0.1.0 包含 43 项）。检查并非审计，也不证明源的真实性、完整性、暴露情况或需求。