Az AI elárasztja a CVE-rendszert hamis és túlértékelt hibákkal

A mennyiség gyorsan nő, a jel-zaj arány romlik

A JFrog biztonsági kutatócsapata 2021 óta gyűjt adatokat a közzétett CVE-kről, vagyis a nyilvánosan dokumentált sérülékenységekről. A vállalat által bemutatott adatok szerint az utóbbi években folyamatosan nőtt a CVE-k száma, a növekedést pedig két, egymással párhuzamos folyamat erősíti.

A tapasztalt kutatók AI segítségével gyorsabban és könnyebben azonosíthatnak összetett, korábban ismeretlen hibákat. Eközben a kevésbé képzett jelentéstevők is megkerülhetik a korábbi technikai belépési küszöböt. Így valódi sérülékenységek és zajos, hibás bejelentések egyaránt nagy számban kerülnek a feldolgozási láncba.

A JFrog szerint a növekvő mennyiség megnehezíti a CVE-k ellenőrzését és értékelését. A vállalat úgy látja, hogy a nyílt forráskódú karbantartók egyre több hallucinált, AI által előállított jelentéssel találkoznak, miközben az olyan alapvető intézmények, mint az amerikai National Vulnerability Database, szintén nehezen kezelik a beérkező adatok tömegét.

A projektek szigorítanak a jelentések kezelésén

2026 januárjában Daniel Stenberg, a széles körben használt curl segédprogram készítője bejelentette a projekt hibavadászprogramjának megszüntetését. Közlése szerint a 2025-ben beküldött, AI által generált jelentések robbanásszerű növekedése érvénytelen bejelentések áradatához vezetett. A sérülékenységként megerősített beküldések aránya 5 százalék alá esett.

Hat hónappal később Michael Catanzaro, a GNOME akkori biztonsági koordinátora bejelentette a projekt biztonsági nyomkövető rendszerének módosítását. A GNOME többé nem továbbítja a jelentéseket azoknak a karbantartóknak, akik kifejezetten elutasították az AI által létrehozott tartalmak fogadását.

Catanzaro szerint 2026-ban a beérkező jelentések elsöprő többsége használt nagy nyelvi modellt, ezért a projekt kénytelen abból kiindulni, hogy a jelentések többsége AI által létrehozott anyagot is tartalmaz. A GNOME a 2026. augusztus 1-jén vagy azt követően bejelentett hibáknál 90 napról 30 napra csökkentette a sérülékenységek közzétételi határidejét. A JFrog beszámolója szerint a Linux kernelhez hasonlóan más projektek az AI által generáltnak tűnő jelentéseknél azonnali teljes közzétételt alkalmaznak.

Az NVD a fontosabb hibákat veszi előre

A beérkező CVE-k mennyisége az amerikai NIST működésére is hatással volt. Az NIST 2026 áprilisi közleménye szerint április 15-től elsőbbséget kapnak a CISA Known Exploited Vulnerabilities Catalog katalógusában szereplő CVE-k, a szövetségi kormány által használt szoftvereket érintő hibák és a kritikus szoftverek sérülékenységei.

A 2026. március 1. előtt közzétett, hátralékban lévő CVE-ket az NIST „Not Scheduled” állapotba helyezte. A JFrog értékelése szerint emiatt sok közzétett sérülékenység nem kap NVD-s kiegészítő elemzést, és nagyobb ellenőrzési teher kerül a vállalati biztonsági csapatokra.

Az AI a felfedezés mellett a kihasználást is felgyorsíthatja. A JFrog egy 2026. májusi esetet említ, amelyben a GNOME Evince dokumentumnézőt és annak változatait érintő CVE-2026-46529 hibához egy kutató Claude segítségével fejlesztett fegyverezett, egyetlen kattintással működő kódfuttatási exploitot. A PoCGen és az Anthropic ellenőrzött kutatása hasonló képességeket mutatott be a nyilvánosságra hozatal és a széles körű javítás közötti időszakra.

A magas súlyossági besorolás sem mindig jelent azonos kockázatot

A JFrog szerint a sérülékenységek egy részét a tényleges körülmények figyelembevétele nélkül sorolják magasabb kategóriába. A súlyosság felülértékelése akkor fordulhat elő, ha egy besorolás elméleti vagy ésszerűen feltételezett legrosszabb kimenetelen alapul, miközben az éles kihasználáshoz szükséges feltételeket nem mérik fel megfelelően.

Ilyen feltétel lehet például, hogy a hibás kód elérhető-e, engedélyezve van-e egy választható funkció, milyen konfigurációt használ a rendszer, vagy szükséges-e egy valószínűtlen eseménysor. A FIRST CVSS v4.0 User Guide szerint a CVSS alapértékei a sérülékenység súlyosságát mérik, és önmagukban nem alkalmasak a kockázat megállapítására. A JFrog szerint mégis sok szkenner, irányítópult és javítási szabályzat az alapértéket kezeli az sürgősség általános mércéjeként.

A vállalat példaként a libcurlt említi. A projekt karbantartói egy négy hónapos időszakban 27, alacsony és közepes hatásúként értékelt CVE-t tettek közzé, miközben a CISA ezek közül csaknem mindet magas vagy kritikus besorolásra emelte. A JFrog vizsgálata szerint több CVSS-vektor nem tükrözte a hibák technikai valóságát. A vállalat példái között kliensoldali összeomlások, különleges klienskonfigurációkhoz kötött hibák és olyan use-after-free problémák szerepelnek, amelyeket hálózati memóriarontásként soroltak be.

Az SQLite-ügy megmutatta a hamis tanácsok veszélyét

A generatív AI képes a biztonsági tanácsokra jellemző hivatalos hangnemet, formátumot és szakzsargont is utánozni. A JFrog 2026 júliusában egy új GitHub-repozitóriumban közzétett, több mint 50 tanácsadást vizsgált, amelyek között SQLite-ot és más nyílt forráskódú projekteket célzó jelentések is voltak. A dokumentumok összetett use-after-free memóriarontási hibákat írtak le, és legfeljebb 9,8-as, kritikus CVSS-értéket kaptak.

A kutatók ellenőrzésekor azonban a jelentések technikai részletei nem állták meg a helyüket. A dokumentumok olyan, az érintett SQLite-verziókban nem létező függvényekre hivatkoztak, mint az exprComputeOperands() és a jsonBlobEdit(). Egy bejelentés egy olyan, 3555-ös sorszámú sort jelölt meg, miközben a fájl mindössze 2706 sort tartalmazott. Egy másik állítólagos javítást említett, a forráskód összehasonlítása azonban nem mutatott változást a hivatkozott fájlokban.

A JFrog szerint a jelenlegi CVE-folyamatban nem kötelező működő koncepciót, úgynevezett PoC-t benyújtani a pontozás előtt. Emiatt az ilyen jelentések bekerülhetnek a további adatfolyamokba, köztük a GHSA-ba, a vállalati szkennerekbe és a fejlesztői riasztásokba. A vizsgált fiók 55 tanácsadásából 54 teljesen kitaláltnak bizonyult. A JFrog szerint a felhasználóknak és a biztonsági csapatoknak ezért a CVSS-érték mellett a technikai részletek és a sérülékenység tényleges kihasználhatósága alapján is kell értékelniük a riasztásokat.