漏洞管理與NVD的AI未來

駕馭漏洞管理的字母湯：NVD 對 AI 應用的意見徵集

解碼縮寫：CVE 與 NVD 的差異

為了真正理解這項 RFI 的重要性，我們必須先釐清定義了「協調漏洞揭露 (CVD)」的各項縮寫。雖然這些術語常被交替使用，但它們各自服務於截然不同的目的：

• CVE (通用漏洞與暴露)： 主要透過 cve.org 進行管理，CVE 計畫是識別和編目技術漏洞的全球字典。雖然它由美國國土安全部 (DHS) 透過 CISA 提供資金，並由 MITRE 公司負責營運，但它本質上是一個由志工領導的國際倡議。透過數百個 CVE 編號機構 (CNAs)——從軟體供應商到獨立研究人員——漏洞會被分配到獨特的識別碼（例如 CVE-2026-1234）。在現今的環境中，一個軟體漏洞沒有被分配 CVE 識別碼是極為罕見的。
• NVD (國家漏洞資料庫)： NVD 嚴格來說是 NIST 旗下的一個聯邦計畫，它作為 CVE 的「上下文引擎」運作。它為原始的漏洞識別碼添加了關鍵的詮釋資料 (Metadata)，包含通用漏洞評分系統 (CVSS) 的嚴重性指標、通用弱點列舉 (CWE) 分類，以及通用平台列舉 (CPE) 字串。值得注意的是，NVD 維護著具權威性的 CPE 資料庫——這在軟體識別領域是一項出了名複雜的任務。

簡而言之：CVE 計畫提供了名稱與基本描述，而 NVD 則提供了至關重要的營運上下文（嚴重性與弱點類型）。

瓶頸：當人工策展無法負荷時

不幸的是，在過去兩年中，NVD 難以維持穩定的資訊擴充工作。從 2024 年開始，龐大的漏洞揭露數量徹底淹沒了該資料庫依賴人工策展的處理流程。在資金拮据的加劇下，這個營運瓶頸嚴重影響了美國聯邦政府及高度依賴 NVD 下游資料來排定修補優先順序的私營企業。

業界數據——例如最近在 VulnCheck 網路研討會上分享的見解——指出，NVD 的人工處理能力實際上已達到每年約 30,000 個漏洞的上限。同時，AI 工具正加速攻擊者和研究人員發現新漏洞的速度。由於漏洞揭露的數量只會持續飆升，NVD 必須緊急過渡到「機器速度 (machine-speed)」的處理模式才能生存。

AI：問題的催化劑，還是最終的解藥？

整合大型語言模型 (LLMs) 來自動化漏洞摘要、分類和評分，既展現了巨大的潛力，也帶來了顯著的障礙。高品質的 AI 工具成本高昂——這對一個資金有限的計畫來說是一大挑戰——而且其產出容易出現「幻覺 (hallucinations)」，難以讓人完全信任。透過目前的 RFI，NVD 正直接向非聯邦政府的業界專家徵詢意見，探討該如何妥善分配其有限的精力與資源，以安全地現代化這些關鍵營運。

宏觀視角：備援與整併的抉擇

這項 RFI 也開啟了一個更具存在意義的辯論：NVD 到底還應不應該繼續其資訊擴充計畫？

在 NVD 於 2024 年 2 月出現明顯的營運衰退後，CISA 隨即介入，於 2025 年 1 月啟動了「Vulnrichment」計畫。雖然 Vulnrichment 有效地處理了大部分的 CVE 詮釋資料，但 CISA 很快發現，產生準確的 CPE 異常困難——這是一項 NVD 具備獨特優勢來處理的專業任務。

讓兩個不同的聯邦實體（DHS 旗下的 CISA 與商務部旗下的 NIST）執行重疊的資訊擴充任務，看起來像是官僚體系上的重複作業。然而，在企業系統設計中，備援 (Redundancy) 通常是一種美德。這種雙機構的運作模式，或許能成為抵禦未來資金危機或單點營運故障的有效屏障。