米国国立標準技術研究所(NIST)は、「人工知能とマシン可読なセキュリティデータによってますます形作られつつある、進化するサイバーセキュリティの状況」に対応するため、脆弱性報告プロセスをどのように刷新すべきか、意見を募集しています。
水曜日にFederal Registerで公開予定の情報提供要請(RFI)の中で、NISTは連邦政府がセキュリティ研究者と連携して脆弱性を特定・修正するための主要な仕組みの一つであるNational Vulnerability Database(NVD)を、AI時代に合わせて更新する必要があると表明しました。
NISTは、大規模言語モデル(LLM)が大規模に脆弱性を発見・悪用する能力を高めつつある中で、NVDのプロセスを更新する必要があると懸念しています。
RFIには「定期的なスキャン、静的な優先順位付け、手動での修復を中心とする従来型の脆弱性管理手法の不十分さが、ますます明らかになっています」と記されています。
NISTは、AIによるハッキングツールが最近の脆弱性報告のトレンドに影響を与えていると見ています。NVDでは、開示される脆弱性の量と複雑さの増大、データ品質のばらつき、自動化とマシン可読なセキュリティデータへの依存の高まり、そして、より速い脅威に直面する防御側からの「ほぼリアルタイムでの脆弱性エンリッチメント」への需要増加が確認されています。しかしNISTは、こうした課題こそが、積極的な改革とNVDのイノベーションを通じて「脆弱性管理エコシステムを変革する好機」になるとも考えています。
そこで一般からの意見が求められることになります。NISTはより大きな戦略を策定する前に答えるべき一連の質問を提示しています。その多くは、AIか否かを問わず自動化をプロセスにいかによりよく組み込むかに焦点を当てています。
同局は、防御側が脆弱性報告プロセスにおいて自動化をどのようにより有効活用できるか、関係者への情報伝達を迅速化するにはどのような機能・製品・プロセスが役立つか、AI主導の意思決定にどう透明性と監査可能性を組み込むか、そして自動化された脆弱性修復においてAIがどのような役割を果たすべきかについて、意見を求めています。
「NISTは、現実世界の脅威やビジネス上の優先事項に適切に対応できるサイバーセキュリティ対策を可能にしながら、継続的で文脈に即した自動化された、将来に備えた脆弱性管理エコシステムを支えていく考えです」とRFIには記されています。
NISTによる脆弱性データベース刷新の取り組みは、トランプ政権が財務省の監督のもと、政府と民間セクター間でAI脅威情報を共有するための新たな連邦横断的な情報共有拠点「Gold Eagle」を立ち上げてから1か月後に発表されました。
財務省のプロセスがNISTのデータベースとどのように連携するのかは、まだ明らかになっていません。ホワイトハウスはまた、カーネギーメロン大学のソフトウェア・エンジニアリング研究所と提携し、AIが発見した脆弱性に関する報告を収集・配布するVulnerability Information and Coordination Environment(VINCE)を立ち上げています。
翻訳元: https://cyberscoop.com/nist-national-vulnerability-database-ai-overhaul/
