本文研究了开源软件漏洞生态系统中不同漏洞扫描器对同一软件资产报告结果不一致的问题。尽管存在公开的漏洞信息标准（如CVE、CPE），但不同扫描器往往产生矛盾的结果。作者指出，这种不一致性并非仅源于数据源或扫描器实现差异，而是在漏洞信息从创建、标准化、丰富化到上下文依赖解释的整个分布式过程中，多个阶段都可能引入差异。论文提出了一个概念框架，将漏洞管理描述为信息交换与转换的分布式过程。该框架追踪漏洞信息从产生（如CVE分配）到标准化（如CPE匹配）、富化（如CVSS评分、受影响的版本范围）以及最终在特定上下文中的解释（如扫描器基于本地配置的评估）。分析识别出异构信息源（多个CVE编号、不同数据源）、不同的身份与版本模型（如版本号格式差异、包名歧义）、时间变化（漏洞状态更新、版本范围修正）以及上下文依赖性评估（如依赖关系、编译选项）是导致扫描器结果不一致的主要原因。论文还讨论了这些发现对解读分析结果、设计可复现评估方法以及在实践中处理动态漏洞知识的意义。本文适合安全运维人员、供应链安全研究人员以及漏洞管理工具开发者阅读。