آژانس امنیت سایبری و زیرساخت‌های حیاتی آمریکا (CISA) چارچوبی جدید برای بهبود کیفیت داده‌های CVE معرفی کرده است. هدف از این اقدام، تکامل برنامه شناسایی آسیب‌پذیری‌ها در شرایطی است که حجم افشاهای امنیتی در حال افزایش است و ابزارهای هوش مصنوعی (AI) سرعت کشف آن‌ها را به شدت بالا برده‌اند.
گذار به «عصر کیفیت»
طبق سند منتشر شده با عنوان Establishing a Quality Era Framework، برنامه CVE از دوره «رشد کمّی» به دورانی جدید منتقل می‌شود که تمرکز اصلی آن بر قابلیت اطمینان (Reliability)، پاسخگویی (Responsiveness) و کیفیت داده‌های آسیب‌پذیری است.
آمارها نشان‌دهنده فشار فزاینده بر این سیستم است؛ تا ۱۸ سپتامبر، بیش از ۶۷,۰۰۰ مورد CVE در سال ۲۰۲۶ منتشر شده و پیش‌بینی می‌شود این رقم تا پایان سال به ۹۶,۰۰۰ مورد برسد. همچنین پایگاه داده ملی آسیب‌پذیری‌ها (NVD) افزایش ۲۶۳ درصدی در submissions بین سال‌های ۲۰۲۰ تا ۲۰۲۵ را گزارش کرده است.
تأثیر هوش مصنوعی بر چرخه شناسایی
CISA اشاره کرده است که ابزارهای خودکار و مبتنی بر AI، فشار را در تمام چرخه حیات نرم‌افزار (از توسعه تا افشا) افزایش داده‌اند. این موضوع باعث می‌شود فرآیندهای Triage، افشای هماهنگ آسیب‌پذیری‌ها (CVD) و تخصیص شناسه‌های CVE تحت فشار قرار گیرند.
در این راستا، کارشناسان معتقدند که هوش مصنوعی پیشرو به محققان کمک می‌کند تا زنجیره‌های اکسپلویت (Exploit Chains) را سریع‌تر شناسایی و تأیید کنند. بنابراین، داده‌های باکیفیت‌تر و هماهنگی سریع‌تر باید همگام با سرعت بالای کشف آسیب‌پذیری‌ها پیش برود.
ابعاد چهارگانه ارتقای کیفیت
این چارچوب، کیفیت را در چهار محور اصلی تعریف می‌کند:
- حاکمیت برنامه (Program Governance): سرعت تصمیم‌گیری‌ها و مدیریت تضاد منافع.
- مشارکت اکوسیستم (Ecosystem Participation): افزایش تعداد و تنوع مراجع شماره‌گذاری (CNAs).
- زیرساخت داده‌ها (Data Infrastructure): بهبود Uptime سیستم‌ها و عملکرد APIها.
- محتوای رکورد CVE (CVE Record Content): کاهش نیاز به اصلاح رکوردها پس از انتشار و رعایت معیارهای کیفی.
CISA تأکید کرده است که مدرنیزاسیون فنی اگرچه باعث مقیاس‌پذیری (Scalability) می‌شود، اما نمی‌تواند جایگزین تعاملات جامعه امنیتی و بلوغ حاکمیتی در مدیریت داده‌های آسیب‌پذیری شود.
