// TOM'S HARDWARE ITALIA — CYBERSECURITY
Il database delle falle è in affanno, NIST punta all’automazione
Il NIST ha avviato una richiesta di informazioni per capire quali attività della National Vulnerability Database possano essere automatizzate con l’intelligenza artificiale e quali debbano rimanere sotto controllo umano. L’iniziativa punta a modernizzare un’infrastruttura centrale per la sicurezza informatica, ormai sottoposta a un volume di segnalazioni che gli attuali processi manuali non riescono più a gestire tempestivamente.
La NVD acquisisce i record CVE circa un’ora dopo la loro pubblicazione. Gli analisti possono quindi integrarli con punteggi di gravità, versioni interessate e configurazioni vulnerabili. Il carico, però, è cresciuto rapidamente: tra il 2020 e il 2025 le segnalazioni hanno registrato un aumento del 263%, mentre nei primi tre mesi del 2026 sono risultate quasi un terzo più numerose rispetto allo stesso periodo dell’anno precedente.
La pressione ha già costretto l’agenzia a rivedere le priorità. Da aprile l’arricchimento immediato si concentra soprattutto sulle vulnerabilità presenti nel Known Exploited Vulnerabilities Catalog della CISA, sul software utilizzato dal governo federale e sui prodotti considerati critici. Gli altri CVE continuano a essere pubblicati nella banca dati, ma non vengono necessariamente sottoposti subito all’analisi aggiuntiva.
Una valutazione dell’ispettorato del Dipartimento del Commercio ha rilevato che il backlog è passato da circa 13.000 vulnerabilità all’inizio di giugno 2024 a più di 27.000 alla fine del 2025. Per il 2026 sono previste oltre 60.000 vulnerabilità segnalate. Punteggio di gravità e assegnazione delle dichiarazioni di applicabilità assorbirebbero insieme circa l’80% del tempo impiegato nell’arricchimento dei record.
La consultazione, con scadenza fissata al 13 ottobre a mezzogiorno Eastern Time, chiede al settore indicazioni sulla prioritizzazione assistita dall’IA, sulla verificabilità dei risultati e sull’integrazione con avvisi dei produttori, threat intelligence e sistemi di gestione degli asset. Il NIST vuole inoltre individuare salvaguardie adeguate per le indicazioni di remediation generate automaticamente, evitando che suggerimenti errati entrino direttamente nei flussi operativi.
L’agenzia ha già ridotto alcune duplicazioni: quando una CVE Numbering Authority fornisce un punteggio, la NVD non ne produce più sistematicamente uno separato. I feed e le API includono inoltre i dati di categorizzazione della CISA e informazioni sui prodotti coinvolti, accanto ai punteggi CVSS. Resta più complessa la compilazione delle dichiarazioni CPE, necessarie per descrivere in formato leggibile dalle macchine versioni e configurazioni interessate.
Il confronto riguarda anche il modo in cui misurare il rischio reale. Una falla con elevata gravità tecnica può avere un impatto operativo limitato, mentre una vulnerabilità meno grave, esposta a Internet e già sfruttata, può richiedere un intervento immediato. Il NIST non ha ancora scelto un’architettura di automazione né fissato una data di implementazione: le risposte contribuiranno a definire pianificazione, standard, governance dei dati e controlli umani.
Aggiungi Tom's Hardware alle tue fonti preferite su Google