NIST、AI対応NVD近代化に向けパブリックコメントを募集

米国立標準技術研究所(NIST)は、AIによってもたらされる課題に対応し、より多くの自動化とAIワークフローを組み込むため、National Vulnerability Database(NVD)の近代化を検討しています。

NISTは8月12日にFederal Registerで公表した情報提供要請(RFI)の中で、「AIと機械可読なセキュリティデータによってますます形作られつつある進化中のサイバーセキュリティ環境」においてNVDを近代化するための機会、課題、優先事項について、関係者からの意見を募っています。

同研究所は特に、NVDのスケーラビリティ、自動化、相互運用性、透明性、有用性を改善する「将来を見据えた視点、実践的な提言、革新的なモデル」を求めています。

現在、NVDは共通脆弱性識別子(CVE)レコードを約1時間以内に自動取り込みし、その後アナリストが深刻度スコアや影響を受ける製品バージョンなどの情報を追加します。こうして拡充されたレコードは、NVDのウェブサイトおよび自動化ツールを通じて公開されます。

しかしNISTは、「定期的なスキャン、静的な優先順位付け、手動での修復」に基づく従来の手法では不十分になりつつあると指摘しています。

このRFIでは、AI対応ツールの普及、技術サイクルの高速化、脆弱性件数の増加、自動化とほぼリアルタイムのデータに対する需要の高まりにより、脆弱性管理が急速に変化している状況が強調されています。

同研究所は、AI支援による脆弱性の発見や悪用といったリスクを認識しつつも、AIを脆弱性管理を近代化する機会として位置づけています。

同研究所は、「継続的で、文脈に応じた、自動化された」システムを構築し、新たな脅威や組織の優先事項に効果的に対応できる体制を整えるため、コミュニティからの意見を求めています。

このRFIには30項目の質問リストが含まれており、関係者に対してNVDが何を変えるべきか、そしてAIツールや自動化ワークフローをどのように統合すべきかを評価するよう呼びかけています。

Fortraのセキュリティ研究開発担当associate directorであるTyler Reguly氏は、特にソースコードを分析する際、AIは人間の研究者が見落としがちな「あらゆる種類の見つけにくい脆弱性」を特定できるため、脆弱性の発見において有益であり得ると述べています。

一方で同氏は、特に重要システムや本番システムにおいて、修復作業をAIに過度に依存しないよう組織に警告しています。Reguly氏は「重要システムにおける脆弱性の修復を、今の段階でAIに任せることはしません」と述べ、「人間がループに介在すること(human-in-the-loop)は依然として非常に重要です」と強調しました。

さらに同氏は、AIによる修復はテスト環境や実験室では適している可能性があるものの、「本番システムでは……まだです」と付け加えました。

関係者からの意見提出の期限は10月13日です。