NixOS 上 VEX 在漏洞分拣中的"不合理有效性"

面对 LLM 辅助生成的漏洞报告洪流，SysAdmin / SRE / AppSec 团队同样疲于逐条评估 CVE。文章以 `golang.org/x/text` v0.38.0 和 `openssh-server`（含历史 CVE-2007-2768）为例，演示 SBOM 扫描工具 syft 与 grype 经常报出实际不可达的漏洞，需要逐条手工写 VEX 才能排除。