Réglementation
L’Institut national des normes et de la technologie ouvre la modernisation de la base de données nationale des vulnérabilités aux commentaires du public
Ajouter Unite.AI à vos sources préférées sur Google
L’Institut national des normes et de la technologie demande au public comment reconstruire la base de données nationale des vulnérabilités pour une ère d’intelligence artificielle, en ouvrant une fenêtre de commentaires de 62 jours le 12 août 2026, qui se clôturera le 13 octobre 2026 à 23h59, heure de l’Est. La demande d’information publiée dans le Registre fédéral sollicite des commentaires sur la scalabilité, l’automatisation, l’interopérabilité, la transparence et l’utilité de la NVD, ainsi que sur les domaines où l’IA devrait, ou ne devrait pas, être confiée dans le pipeline de gestion des vulnérabilités.
La NVD est le référentiel du gouvernement américain pour les données de gestion des vulnérabilités basées sur les normes, établi et exploité par le laboratoire des technologies de l’information de NIST. Elle ingère des enregistrements du programme Common Vulnerabilities and Exposures dans l’heure qui suit leur publication, puis les enrichit avec des scores de gravité et des détails sur les produits affectés que les outils de sécurité consomment via son interface Web et ses API. L’avis la décrit comme une ressource fondamentale pour la gestion des vulnérabilités, la sécurité des logiciels, l’automatisation de la conformité et l’analyse des risques de cybersécurité dans les secteurs public et privé.
La demande d’information est explicite sur les raisons pour lesquelles NIST agit. L’avis décrit un écosystème façonné par des outils de cybersécurité alimentés par l’IA et des cycles de livraison accélérés, dans lequel les acteurs malveillants peuvent utiliser des systèmes d’IA pour découvrir et exploiter des vulnérabilités à grande échelle. Les approches traditionnelles basées sur des analyses périodiques, une priorisation statique et une remediation manuelle, dit-elle, montrent leur insuffisance. NIST définit l’objectif comme un écosystème de gestion des vulnérabilités prêt pour l’avenir, qui est « continu, contextuel et automatisé ».
Sept domaines de questions, de la triage à la remediation
L’avis organise ses questions en sept domaines. En termes de processus, il demande où l’automatisation alimentée par l’IA appartient dans le cycle de vie des vulnérabilités et quels tâches devraient rester sous examen humain. En termes d’évaluation des risques, il demande comment la priorisation contextuelle devrait fonctionner et comment la transparence et la traçabilité dans les décisions de priorisation alimentées par l’IA pourraient être améliorées. En termes de remediation, il demande quel rôle les systèmes d’IA devraient jouer dans la génération de correctifs, quels garde-fous empêcheraient les remediations erronées générées par l’IA et quels obstacles empêchent les organisations de corriger les vulnérabilités même lorsqu’elles reçoivent des informations de vulnérabilité complètes et opportunes.
Deux sections vont au-delà des opérations quotidiennes. L’une demande si les identificateurs existants, les schémas de dénomination de produits et les systèmes de notation de gravité sont suffisants pour une priorisation efficace à l’ère de l’IA, et quels sont les lacunes dans les données de vulnérabilités lisibles par machine. L’autre demande aux répondants de définir ce que la NVD devrait devenir : quels sont les capacités et les services qui augmenteraient son impact au cours des cinq prochaines années, quels sont les tendances émergentes qu’elle devrait anticiper et quels sont les indicateurs qui suivraient le succès de la modernisation.
Les réponses éclaireront la planification stratégique, les décisions d’architecture technique, le développement de normes et de bonnes pratiques, la gouvernance des données et les collaborations communautaires, indique l’avis. Les commentaires doivent être déposés électroniquement via regulations.gov sous le dossier NIST-2026-0100 ; NIST n’acceptera pas les soumissions par courrier postal, télécopie ou courrier électronique, et tous les commentaires seront publiés sans rédaction. L’avis met en garde les commentateurs contre l’inclusion d’informations personnelles ou confidentielles.
Une base de données déjà sous tension
La demande d’information intervient quatre mois après que NIST ait reconnu qu’il ne pouvait plus suivre le rythme du travail de base de la base de données. Dans un annonce du 15 avril 2026, l’agence a révélé que les soumissions de CVE avaient augmenté de 263 % entre 2020 et 2025, et que les soumissions des trois premiers mois de 2026 étaient près d’un tiers supérieures à la même période l’année précédente. NIST a enrichi près de 42 000 CVE en 2025, soit 45 % de plus qu’aucune année précédente, et ne pouvait toujours pas éliminer un arriéré d’enregistrements non enrichis qui s’accumulait depuis le début de 2024.
La réponse a été un modèle de triage. NIST donne désormais la priorité à l’enrichissement des CVE figurant dans le catalogue des vulnérabilités exploitées connues de CISA — avec pour objectif d’enrichir ceux-ci dans un délai d’un jour ouvrable — ainsi que des CVE affectant les logiciels utilisés par le gouvernement fédéral et les logiciels critiques tels que définis par la ordonnance exécutive 14028, la directive de 2021 de l’administration Biden sur la cybersécurité fédérale. Tout le reste est répertorié mais étiqueté « Priorité la plus basse – non prévu pour un enrichissement immédiat », et chaque CVE en retard publié avant le 1er mars 2026 a été déplacé vers une catégorie « Non prévu ». NIST a également cessé de publier systématiquement son propre score de gravité lorsque l’autorité de numérotation de CVE avait déjà fourni un.
Les travaux de modernisation se sont poursuivis parallèlement au triage. Le 17 juin 2026, la NVD a élargi ses flux de données et ses API pour inclure des données de catégorisation de vulnérabilités spécifiques aux parties prenantes provenant de l’éditeur de données autorisé de CISA, ainsi que des scores de gravité existants, plus des listes structurées de logiciels affectés tirées d’enregistrements de CVE. Le déploiement a touché environ 95 % de toutes les vulnérabilités de la base de données, et NIST a averti les utilisateurs d’API de s’attendre à des charges utiles plus importantes et à une latence accrue pendant la mise à jour.
Ce que le dossier de modernisation pourrait façonner
L’avis positionne l’enregistrement des commentaires comme matière première pour la prochaine phase de la NVD : l’architecture, le développement de normes et la gouvernance des données sont tous mentionnés comme cibles. Pour les équipes de sécurité dont les outils dépendent déjà de l’enrichissement de la NVD, les questions sur les critères de priorisation, les données lisibles par machine et les normes de notation sont celles qui sont les plus susceptibles de ressurgir dans les flux de travail futurs de la NVD — les mêmes flux de travail que le modèle de triage d’avril a réorganisés. NIST a également invité les commentateurs à joindre des études non publiées et des données empiriques, un signal que l’agence veut des preuves, et non seulement des déclarations de position.
La période de commentaires se clôturera le 13 octobre 2026. Les soumissions reçues après cette date pourraient ne pas être prises en compte.
Les flux de travail de la NVD — les mêmes flux de travail que le modèle de triage d’avril a réorganisés. NIST a également invité les commentateurs à joindre des études non publiées et des données empiriques, un signal que l’agence veut des preuves, et non seulement des déclarations de position. La période de commentaires se clôturera le 13 octobre 2026. Les soumissions reçues après cette date pourraient ne pas être prises en compte.
