账号年龄作为信任代理变量：冷却门禁拦得住什么、预培账号如何把年龄搬进攻击面

没有给你的那个字段，格式里本来就不存在：OSV/GHSA 如何把攻击者账号年龄排除在记录之外

攻击者账号年龄的可观测性缺失，到底是报告方选择不发布，还是标准化漏洞记录格式在schema层就没有该字段的位置？

OSV v1.9.0与GHSA schema顶层字段均无attacker/maintainer账号创建时间项，ranges.events只记录包内introduced/fixed版本生命周期；想加只能塞进database_specific自由块，跨库不可比。因此'年龄不可审计'从统计事实升级为格式设计后果：检测信号集中在包/版本因为格式把世界建模成'包的好/坏版本'，账号维度被结构性排除，唯一持有者可能是注册表内部。