Open WebUI 是部署最广泛的自托管 LLM 前端之一，于 8 月 31 日 05:48:23 UTC 发布了 v0.11.2。发布说明中明确写明一项政策：该版本的安全通告 可能会暂时扣留，以便管理员有时间升级。
这项政策，明说出来的版本
延迟披露确实是一种真实且正当的做法。先给防守方一个起跑优势；等补丁扩散后再公布细节。Open WebUI 把这项政策写下来，而不是像更常见的做法那样悄悄处理，值得肯定。但这种权衡也应当说清楚，因为它并不像措辞暗示的那样对称。
延迟究竟帮了谁
这个窗口并不会隐藏修复内容。由于这是一个开源项目，发布一经上线，提交记录便会公开。任何有动机的人都可以在几分钟内对比两个标签，找出被修补的代码路径——这就是从补丁到可用漏洞利用的标准路径，而是否发布通告并不会改变这一点。被延后披露的，是严重程度和问题类别；而这些信息，恰恰没有告诉那个正要决定今晚升级还是等到冲刺结束再说的管理员。攻击者看的是 diff，防守方看到的则是“请在方便时尽快处理”。
此前的模式
前一个版本 v0.11.1 于 8 月 25 日 21:17:57 UTC 发布。其安全通告大约在 5 天后、即 8 月 30 日公布。因此，这个时间差并非假设；而 v0.11.2 现在也处于与其前任相同的状态——携带尚未公开的安全内容，同时要求运维人员相信这项指引，而不是细节本身。
常见表述哪里出了问题
变更日志摘要通常把这类版本归为维护更新，因为它们看起来确实如此：一串修复项，语气与界面调整并无二致。搜索“security”的读者找不到任何需要优先处理的内容。严重程度信息是存在的，项目方也掌握着它，而被扣留的时间段，恰恰就是做出升级决定的时间段。
实际应如何理解
对于一个对多个用户开放的自托管部署来说，凡是带有这类说明的 Open WebUI 版本，都应默认视为与安全相关，并据此安排升级。没有公开通告，并不意味着没有需要修补的内容——发布说明已经明说了这一点。