Il National Institute for Standards and Technology lancia una consultazione pubblica per trasformare la NVD in un hub automatizzato, contestuale e AI‑driven, rispondendo al crescente volume di vulnerabilità e alle nuove minacce generate dall’IA.
Negli ultimi anni il National Vulnerability Database (NVD) è diventato il punto di riferimento globale per la raccolta e la diffusione di informazioni su vulnerabilità e esposizioni (CVE). Il modello tradizionale prevede l’ingestione automatica dei record entro un’ora, seguita da una fase manuale di arricchimento con punteggi di gravità e dettagli sui prodotti interessati. Tuttavia, l’aumento esponenziale di vulnerabilità, la velocità dei cicli di sviluppo software e l’avvento di strumenti basati su Intelligenza Artificiale (IA) hanno messo a dura prova questo approccio.
Il 12 agosto, il NIST ha pubblicato nel Federal Register una Request for Information (RFI) che invita esperti, fornitori e utenti a fornire suggerimenti su come rendere la NVD più scalabile, automatizzata e interoperabile. L’obiettivo dichiarato è creare una piattaforma “continua, contestuale e automatizzata”, capace di fornire dati quasi in tempo reale a chi deve gestire la sicurezza dei propri sistemi.
Il documento contiene 30 domande mirate a raccogliere opinioni su temi quali l’integrazione di modelli di machine learning per la classificazione delle vulnerabilità, l’uso di AI‑generated exploit e le implicazioni di sicurezza di affidare parti del processo di remediation a sistemi autonomi.
Il NIST riconosce che l’IA può accelerare la scoperta di vulnerabilità, soprattutto nell’analisi di grandi code‑base. Tyler Reguly, responsabile della ricerca sulla sicurezza presso Fortra, ha sottolineato come gli algoritmi possano individuare “vulnerabilità oscure” difficili da rilevare per gli analisti umani. Tuttavia, Reguly avverte contro un’eccessiva fiducia nella remediation automatizzata, soprattutto in ambienti di produzione. Secondo le sue parole, l’intervento umano resta cruciale, almeno per i sistemi critici, mentre l’automazione può essere sperimentata in laboratori o ambienti di test.
Il NIST ha fissato il 13 ottobre come scadenza per la presentazione delle proposte. Le parti interessate possono inviare le proprie risposte tramite il portale indicato nella RFI, includendo esempi pratici, casi d’uso e valutazioni di rischio. La partecipazione è aperta a tutti: fornitori di sicurezza, ricercatori accademici, team di risposta agli incidenti e rappresentanti di organizzazioni pubbliche o private.
Una NVD più automatizzata potrebbe trasformare radicalmente il modo in cui le aziende gestiscono le vulnerabilità:
Allo stesso tempo, l’adozione di IA nella NVD solleva nuove sfide di sicurezza operativa: se gli algoritmi stessi diventassero bersaglio di attacchi, la catena di fiducia nella base dati potrebbe essere compromessa. Il NIST ha quindi richiesto anche suggerimenti su meccanismi di verifica e audit per garantire l’integrità dei processi automatizzati.
Il NIST non ha ancora definito una roadmap dettagliata, ma la RFI indica chiaramente la volontà di avviare un percorso di modernizzazione continua. Se le proposte raccolte saranno implementate, potremmo assistere entro i prossimi due‑tre anni a una NVD capace di:
In sintesi, la consultazione del NIST rappresenta un passo cruciale verso una gestione delle vulnerabilità più proattiva e intelligente, ma il successo dipenderà dalla capacità della comunità di bilanciare automazione e supervisione umana.
Se sei un professionista della sicurezza, un fornitore di soluzioni o un ricercatore, considera di contribuire alla RFI prima del 13 ottobre per influenzare il futuro della più importante banca dati di vulnerabilità al mondo.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
