Az IST szerint meg kell szüntetni az NVD rekordjavító szerepét

2026. október 19. 23:53Forrás: Institute for Security and Technology

Az Institute for Security and Technology (IST) szerint a CVE-rendszer gondja nem a feldolgozási kapacitás, hanem a felelősség hiánya, ezért négy szerkezeti változtatást javasol az amerikai nemzeti sebezhetőségi adatbázis (NVD) átalakítására. A javaslatot a NIST nyilvános információkérésére adott válaszában tette közzé.

A lényeg röviden

Az IST és a Software Safety Institute válaszolt a NIST augusztusi információkérésére az NVD modernizálásáról.
A szerzők szerint a gond nem a feldolgozókapacitás, hanem a CVE-rekordok minőségéért viselt felelősség hiánya.
A CISA vizsgálata szerint a KEV-katalógus bejegyzéseinek kb. 40 százaléka régóta ismert gyengségtípusokhoz kapcsolódik.
Négy javaslat: a dúsítás megszüntetése és költségvetésének átadása a CISA-nak, CAT-szabványok, CNA-nkénti nyilvános mérés, a CPE-karbantartás átadása a CNA-knak.
Az IST az SP 800-218A-ban MI-kódgenerálási elvárásokat is kér, például a hibaarányok közzétételét.

Mire válaszolt az IST

A NIST, az amerikai Nemzeti Szabványügyi és Technológiai Intézet augusztusban információkérést (Request for Information, RFI) tett közzé arról, hogyan lehetne korszerűsíteni a National Vulnerability Database-t a mesterséges intelligencia korában. Az IST és a Software Safety Institute válaszát Nick Leiserson, Bob Lord és Lauren Zabierek jegyzi, az IST 2026. október 19-i közleménye szerint.

A szerzők korábbi, döntéshozóknak szóló ajánlásaikra építenek. Céljuk, hogy a jelenlegi, állami támogatású és szerintük fenntarthatatlan rekordtisztítás helyett olyan modell jöjjön létre, amelyben a szoftverkiadók érdekeltek abban, hogy teljes, pontos és időben benyújtott rekordokat adjanak. Az úgynevezett dúsítás (enrichment) pedig valódi értéket adjon hozzá, ne csupán az alapadatmezőket töltse ki.

A probléma gyökere: nincs felelősség

Az összefoglaló szerint a CVE (Common Vulnerabilities and Exposures) rendszer kinőtte azt a harmadik fél általi dúsítási szerepet, amelyre az NVD-t létrehozták. A szerzők állítása szerint a központi gond nem a feldolgozókapacitás, és a mesterséges intelligenciával támogatott automatizálás sem oldja meg. A hiányzó elem az elszámoltathatóság a rekordok minőségéért, még a létrehozásuk pillanatában.

Az IST hivatkozik a CISA, az amerikai kibervédelmi ügynökség 2024-es és 2025-ös pénzügyi évre vonatkozó vizsgálatára. Eszerint az ismert, kihasznált sebezhetőségeket tartalmazó katalógus (Known Exploited Vulnerabilities Catalog) bejegyzéseinek nagyjából 40 százaléka olyan gyengeségekhez kapcsolódott, amelyeket az iparág évek óta nyomon követ. A jelentés szerint a incidensek 31 százaléka sebezhetőség kihasználásával kezdődik.

Az IST érvelése szerint ezek a hibák azért maradnak fenn, mert a szoftvergyártók nem viselnek érdemi felelősséget a kiszállításukért. Ugyanez a hiány jelenik meg a rekordoknál is. A CVE-azonosítókat kiosztó CNA-k (CVE Numbering Authorities) száma már több mint 550, köztük a legtöbb nagy gyártó is, ők azonban nem kötelesek teljes, pontos és időszerű rekordokat közzétenni, és nincs következménye, ha nem teszik. Az NVD utólagos javítása elfedi a hibát és gyengíti az ösztönzést a forrásnál történő megoldásra. A szerzők szerint az MI által felgyorsított felfedezés növeli a rekordok mennyiségét, így a javítási modell még kevésbé tartható.

A négy javasolt változtatás

Az IST hangsúlyozza, hogy a javaslatok a jelenlegi NVD-tevékenységek helyettesítését jelentik, nem kiegészítését.

Dúsítás megszüntetése: a NIST szüntesse meg az NVD rekordszintű dúsító funkcióját, és a Kongresszussal együttműködve adja át a dúsításra szánt költségvetést a CISA-nak.
CAT-szabványok: a NIST határozza meg, mit kell tartalmaznia egy CVE-rekordnak a CNA általi létrehozáskor (complete, accurate, timely, vagyis teljes, pontos, időszerű), és formalizáljon egy eredetkövetett attribútummodellt a súlyossági és kihasználhatósági állításokhoz.
Mérés és nyilvánosság: a CISA CNA-nként mérje a megfelelést, és tegye közzé az eredményeket, hogy a rekordminőség a gyártók, üzemeltetők és vásárlók számára is látható legyen. A NIST és a CISA a CWE (Common Weakness Enumeration) rendszert is igazítsa úgy, hogy ugyanez a mérés megmutassa, mely gyártók számolják fel a visszatérő hibatípusokat.
CPE-karbantartás kivezetése: a NIST vonja ki a központosított CPE (Common Platform Enumeration) karbantartást, és a termék- és szállítóazonosítást adja át az elsődleges CNA-knak.

A szerzők az NVD-hez nem javasolnak új képességeket, sem MI-alapúakat, sem másfélét.

MI-kódgenerálás: elvárások a fejlesztőknek

Az NVD-n túl az IST azt kéri a NIST-től, hogy a biztonságos fejlesztési útmutatójában, elsősorban az SP 800-218A kiadványban támasszon secure-by-design elvárásokat az MI-alapú kódgenerálással szemben. A javaslat szerint az MI-cégek a kiadás előtt teszteljék modelljeiket ismerten veszélyes kódolási mintákon, tegyék közzé a generált kód hibaarányát, és ahol lehetséges, hangolják úgy a modelleket, hogy utasítsák vissza az ismerten veszélyes mintákat.

Mit jelent ez a piacnak

A javaslat a költségek és a felelősség áthelyezését célozza: a rekordminőség terhe a gyártókat és a CNA-kat terhelné, a CISA nyilvános mérései pedig összehasonlíthatóvá tennék őket a vásárlók és az üzemeltetők számára. Ha a NIST követné az ajánlásokat, az NVD már nem javítaná utólag a rekordokat. Hogy ez megtörténik-e, azt a forrás nem közli, az anyag az információkérésre adott válasz, nem döntés.