CVEngine：用持续资产发现和证据验证缩小漏洞告警范围，但扫描目标必须获授权

结论：CVEngine 是一套自托管的外部攻击面与漏洞评估平台，尝试把域名/IP 资产发现、服务指纹、漏洞情报和证据验证串成持续工作流。它不是普通的“AI 漏洞扫描网站”：扫描器会访问目标主机，枚举域名、端口、服务和网页路径，某些模式还能启用更广泛探测。只有在你拥有或获得书面授权的资产上使用。它的潜在价值是把海量 CVE 与自己实际暴露的服务关联，帮助安全团队优先复核风险；AI 分级与生成检测模板不能代替人工判断。

CVEngine 的流程从目标清单开始，默认 Standard discovery 用 bbot 做子域与资产发现，再结合 naabu、nmap、HTTP 检查和 nuclei 建立端口、服务、产品与版本的 inventory；证书、DNS、邮件安全和外部攻击情报补充目标背景。CVE feed 将 CISA KEV、EPSS、Exploit-DB 等来源用于 fire/smoke/ice 排序，再把漏洞与发现的技术指纹匹配。AI 将告警分到 confirmed、likely、needs validation 等类别，read-only check 会尝试重现发现并记录命令与证据。

“只读验证”不代表整套 discovery 都没有网络影响。文档区分 Standard、Deep 和 Passive：Deep 模式会启用更广泛的 bbot 模块，包括 DNS 字典枚举、爬取和额外截图，可能持续数小时；某些阶段还会进行全端口 SYN 探测和 nuclei HTTP 模板请求。Pipeline 文档说明默认不会向目标发送密码字典，也不会试图登录；Redis、PostgreSQL、MongoDB 等检查会进行未认证连接。使用前要明确域名范围、排除共享平台和第三方租户、控制扫描速率，并和业务方约好维护窗口。

部署是有明确资源和运维要求的 Linux Docker Compose 栈：README 建议至少 4GB RAM、20GB 磁盘，Deployment 文档说 8GB RAM 更舒适；服务包括 PostgreSQL、Redis、Django Web、Celery worker 与 HTTPS proxy，生产入口默认暴露 443 和 8082，调试端口只绑定 localhost。安装脚本会生成密码和私有证书，首次登录后需要用户确认有权测试目标。想接 AI triage，可用 Anthropic、OpenAI、OpenRouter、Ollama 或 vLLM；本地推理省掉外部模型 API，但硬件仍有成本。

AI Usage 文档记录模型、token、延迟和连接状态，管理员可按模型单价配置成本估算；未提供价格、缺少 token counts 或 cache 费率时会明确归入 unknown cost。使用日志不保存 API key、prompt、response 或 target 的细节，不过这不等于扫描证据没有敏感数据：平台自身仍会保存资产、服务、漏洞记录和某些截图/脱敏样本。安全团队要依内部要求配置访问控制、保留时间、备份加密和模型出站策略。

当前候选数据为 2026 年 10 月 29 日约 446 Stars，仓库建于 10 月 24 日，10 月 28 日有 push；最新 release 为 v1.2.1（10 月 26 日）。该版本修复 AI triage 回复 schema 无效时的一次修复重试，并改进 Chromium 图谱缩放。项目自述安全性强，但这是维护者说明，不构成独立渗透测试报告。根仓库 GPL-3.0，项目同时 fork reNgine 并集成多种工具；THIRD-PARTY 清单特别指出 WPScan 管理/托管使用可能需要商业许可，其他扫描器和模板也需分别核对。

总结：CVEngine 面向需要持续清点自有互联网资产、把实时利用情报与服务指纹结合的安全团队。它的差异点是将 evidence、AI triage、只读确认和修复跟踪放在一个 dashboard；限制是部署复杂、扫描会产生目标流量、告警仍需专业人员复核。建议先在自有测试域名上运行 Standard mode，验证范围、请求日志和数据出站，再逐步启用 Deep 扫描；不要把它用于未授权的公网目标或把 AI 判断当成漏洞结论。

参考来源

1. CVEngine repository and README
2. CVEngine deployment guide
3. CVEngine pipeline documentation
4. CVEngine AI usage and cost accounting
5. CVEngine third-party software and license list
6. CVEngine v1.2.1 release
7. CISA Known Exploited Vulnerabilities Catalog
8. CVEngine GPL-3.0 license