Автор: Джийн Муди, Field CTO в Action1
Изкуственият интелект (ИИ) може да ни помогне да откриваме уязвимости по-бързо от всякога. Но какво се случва, когато останалата част от екосистемата за управление на уязвимости не може да се справи с темпото?
Когато обемът на уязвимостите изпреварва системата
През април NIST публикува изявление относно актуализациите на операциите на NVD, което отразява необходимата реакция за мащабиране. Обемът на CVE нарасна отвъд това, за което беше разработен настоящият модел за обогатяване на данни. Като част от промяната, приблизително 30 000 уязвимости, публикувани преди 1 март 2026 г., бяха прекласифицирани като „Непланирани“ (Not Scheduled).
Приоритизацията, автоматизацията и селективната обработка са разумни корекции по принцип. На практика обаче тази промяна въвежда набор от рискове, които може да не са напълно разбрани, особено от хората, отговорни за защитата на корпоративните среди.
Натискът не е теоретичен. Докладът на Action1 за 2026 г. относно рейтингите на софтуерните уязвимости установи, че разкритите уязвимости в анализираните категории корпоративен софтуер са се увеличили с 92% през 2025 г. в сравнение с 2024 г. Уязвимостите с критична и висока степен на сериозност са се увеличили със 103% всяка, докато уязвимостите, позволяващи отдалечено изпълнение на код, са скочили със 128%.
Днес обемът на разкритията, които трябва да бъдат валидирани, обогатени с контекст, приоритизирани и в крайна сметка отстранени, вероятно ще окаже още по-голям натиск върху системите, проектирани за една по-бавна ера на откриване на уязвимости.
Следователно основният проблем не е просто съществуването на натрупани и необработени задачи. Натрупванията са очакван резултат във всяка система, работеща в условия на бърз растеж. Тревогата е как се управлява това натрупване и, което е по-важно, какви сигнали се създават от решението да се приоритизират по-новите уязвимости пред по-старите, необработени такива.
Какво се случва, когато обогатяването на данни изостава
Чрез фокусиране на усилията за обогатяване на данни само върху скорошни CVE, системата косвено деприоритизира уязвимости, които може вече да са известни, потвърдени и в някои случаи активно обсъждани от доставчици или изследователи, но на които липсва пълният контекст от NVD.
Това създава асиметрия на информацията от особено труден тип: частични данни без втората половина, която ги прави лесно приложими на практика. Екипите за сигурност, които разчитат силно на NVD като нормализиран източник на информация за уязвимости, може да се сблъскат с непълни или забавени данни.
Атакуващите междувременно не трябва да чакат стандартизирано обогатяване на данните, преди да съпоставят препоръките на доставчиците, проучванията за сигурност, версиите на корекциите за сигурност, информацията за експлойти и публичните разкрития.
Тази пропаст е от значение, тъй като обогатяването не е козметично. Структурираните метаданни, информацията за засегнатите платформи, оценката на сериозността, конфигурационните детайли и друга контекстна информация позволяват на защитниците да определят дали дадена уязвимост действително се отнася за тяхната среда и колко спешно трябва да бъде адресирана.
Когато тази информация липсва или се бави, организациите често са принудени или да чакат допълнителен контекст, или да вземат решения въз основа на фрагментирана информация. Нито един от двата изхода не е идеален в среда на заплахи, където експлоатацията може да се развие по-бързо от вътрешните процеси по валидиране и коригиране.
Съществува и вторичен ефект, който е по-труден за количествено измерване, но е еднакво важен. Постоянно нарастващият обем от необработени данни, който непрекъснато се допълва, докато се източва селективно, създава несигурност относно покритието. Без ясен ангажимент за обработка на по-старите записи в рамките на определен времеви период, натрупаните задачи се превръщат в полупостоянно състояние.
Някои уязвимости ще бъдат обогатени бързо, други ще останат в неопределеност и ще има ограничена видимост за това в коя категория попада дадено CVE във всеки един момент.
За практикуващите специалисти това усложнява прекомерно приоритизацията. Ако информацията за засегнатите продукти (като CPE данните) е непълна или твърде широка, организациите са изправени пред по-голям риск от фалшиви тревоги. Екипите може да прекарват време в разследване на уязвимости, които не се отнасят за тяхната среда, докато потенциално пренебрегват рискове, които са реални за тях.
С течение на времето това със сигурност ще подкопае доверието в набора от данни и ще тласне организациите да изграждат алтернативни канали за събиране на информация. Това ще доведе до допълнителни разходи, инструменти и оперативна сложност. Освен това, както може да се предвиди, ще доведе и до увеличаване на процента на неуспехите.
Вижте какво означава скокът на уязвимостите за защитниците
Докладът на Action1 за рейтингите на софтуерните уязвимости за 2026 г. установи, че експлоатацията на корпоративни приложения е скочила с 800% през последната година. Разгледайте кои софтуерни категории отбелязаха най-големи промени в уязвимостите, сериозността и активността на атакуващите.
Управлението на уязвимости се променя
Нищо от това не предполага, че NIST действа безотговорно. Проблемът с мащаба е реален и съществуващият модел не е проектиран за обема от информация за уязвимости, който сега навлиза в екосистемата. Но въведеният компромис прехвърля повече отговорност надолу по веригата.
Организациите ще трябва да разчитат по-малко на един авторитетен източник и повече на съпоставяне на данни от множество източници, включително NVD, бюлетини за сигурност от доставчици, независими доставчици на информация за уязвимости, платформи за анализ на заплахи и вътрешни регистри на активите.