निस्ट नेशनल वल्नरेबिलिटी डेटाबेस मॉडर्नाइजेशन पर सार्वजनिक टिप्पणी के लिए खुला है

नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी ने सार्वजनिक रूप से पूछा है कि कैसे राष्ट्रीय वल्नरेबिलिटी डेटाबेस को आर्टिफिशियल इंटेलिजेंस के युग में पुनर्निर्माण किया जाए, 12 अगस्त, 2026 को 62 दिनों की टिप्पणी खिड़की खोली जो 13 अक्टूबर, 2026 को पूर्वी समय 11:59 बजे बंद हो जाएगी। फेडरल रजिस्टर में प्रकाशित जानकारी का अनुरोध एनवीडी की स्केलेबिलिटी, स्वचालन, इंटरऑपरेबिलिटी, पारदर्शिता और उपयोगिता पर इनपुट मांगता है, और यह भी पूछता है कि वल्नरेबिलिटी प्रबंधन पाइपलाइन के अंदर किन स्थानों पर एआई पर भरोसा किया जाना चाहिए और नहीं किया जाना चाहिए।

एनवीडी अमेरिकी सरकार का वल्नरेबिलिटी प्रबंधन डेटा का मानक-आधारित भंडार है, जिसे एनआईएसटी के सूचना प्रौद्योगिकी प्रयोगशाला द्वारा स्थापित और संचालित किया जाता है। यह लगभग एक घंटे के भीतर सामान्य वल्नरेबिलिटी और एक्सपोज़र कार्यक्रम से रिकॉर्ड को अवशोषित करता है, फिर उन्हें गंभीरता स्कोर और प्रभावित उत्पाद विवरण के साथ समृद्ध करता है जिसे सुरक्षा उपकरण इसके वेब इंटरफ़ेस और एपीआई के माध्यम से उपभोग करते हैं। नोटिस इसे सार्वजनिक और निजी क्षेत्रों में वल्नरेबिलिटी प्रबंधन, सॉफ्टवेयर सुरक्षा, अनुपालन स्वचालन और साइबर सुरक्षा जोखिम विश्लेषण के लिए एक मूलभूत संसाधन के रूप में वर्णित करता है।

आरएफआई यह स्पष्ट करता है कि निस्ट क्यों कार्रवाई कर रहा है। नोटिस एक पारिस्थितिकी तंत्र का वर्णन करता है जो साइबर उपकरणों और त्वरित वितरण चक्रों द्वारा संचालित है, जिसमें दुर्भाग्यपूर्ण अभिनेता वल्नरेबिलिटी की खोज और शोषण के लिए एआई प्रणाली का उपयोग कर सकते हैं। यह कहता है कि आवर्ती स्कैनिंग, स्थिर प्राथमिकता और मैनुअल उपचार पर आधारित पारंपरिक दृष्टिकोण अपनी अपर्याप्तता दिखा रहे हैं। निस्ट इस लक्ष्य को “निरंतर, संदर्भ-आधारित और स्वचालित” वल्नरेबिलिटी प्रबंधन पारिस्थितिकी तंत्र के रूप में रखता है।

सात क्षेत्रों में प्रश्न, ट्राइएज से उपचार तक

नोटिस अपने प्रश्नों को सात क्षेत्रों में व्यवस्थित करता है। प्रक्रिया पर, यह पूछता है कि वल्नरेबिलिटी जीवन चक्र में एआई-संचालित स्वचालन को कहाँ रखा जाना चाहिए और कौन से कार्य मानव समीक्षा के अधीन रहने चाहिए। जोखिम मूल्यांकन पर, यह पूछता है कि संदर्भ-आधारित प्राथमिकता कैसे काम करनी चाहिए और एआई-संचालित प्राथमिकता निर्णयों में पारदर्शिता और लेखा परीक्षा कैसे बढ़ाई जा सकती है। उपचार पर, यह पूछता है कि एआई प्रणाली को उपचार उत्पन्न करने में क्या भूमिका निभानी चाहिए, क्या सुरक्षा उपाय एआई द्वारा उत्पन्न गलत उपचारों को पकड़ सकते हैं, और क्या संगठनों को यहां तक कि त्वरित और पूर्ण वल्नरेबिलिटी जानकारी प्राप्त करने पर भी पैच करने से रोकता है।

दो अनुभाग दैनिक संचालन से परे हैं। एक यह पूछता है कि क्या मौजूदा पहचानकर्ता, उत्पाद नामकरण योजनाएं और गंभीरता स्कोरिंग प्रणालियां एआई युग में कार्रवाई योग्य प्राथमिकता के लिए पर्याप्त हैं, और मशीन-Readable वल्नरेबिलिटी डेटा में क्या अंतराल बने हुए हैं। दूसरा उत्तरदाताओं से यह परिभाषित करने के लिए कहता है कि एनवीडी को क्या बनना चाहिए: इसके प्रभाव को बढ़ाने के लिए अगले पांच वर्षों में कौन सी क्षमताएं और सेवाएं होनी चाहिए, कौन से उभरते हुए रुझानों की यह प्रत्याशा करनी चाहिए, और इसके आधुनिकीकरण की सफलता को ट्रैक करने के लिए कौन से मेट्रिक्स होने चाहिए।

प्रतिक्रियाएं रणनीतिक योजना, तकनीकी वास्तुकला निर्णयों, मानक और सर्वोत्तम प्रथाओं के विकास, डेटा शासन, और समुदाय सहयोग को सूचित करेंगी, नोटिस कहता है। टिप्पणियों को इलेक्ट्रॉनिक रूप से नियमों के माध्यम से दायर किया जाना चाहिए। निस्ट डाक, फैक्स, या ईमेल के माध्यम से प्रस्तुतियों को स्वीकार नहीं करेगा, और सभी टिप्पणियां संपादित किए बिना सार्वजनिक रूप से पोस्ट की जाएंगी। नोटिस टिप्पणीकारों को व्यक्तिगत या गोपनीय व्यावसायिक जानकारी शामिल नहीं करने के लिए चेतावनी देता है।

एक डेटाबेस जो पहले से ही तनाव में है

आरएफआई निस्ट द्वारा यह स्वीकार करने के चार महीने बाद आता है कि यह डेटाबेस के मूल कार्यभार के साथ तालमेल नहीं रख सकता है। 15 अप्रैल, 2026 को एक घोषणा में, एजेंसी ने खुलासा किया कि सीवीई जमा 2020 और 2025 के बीच 263% बढ़ गए, और 2026 के पहले तीन महीनों में जमा एक वर्ष पहले की तुलना में लगभग एक तिहाई अधिक थे। निस्ट ने 2025 में लगभग 42,000 सीवीई को समृद्ध किया, जो किसी भी पिछले वर्ष से 45% अधिक था, और फिर भी यह 2024 की शुरुआत से निर्मित होने वाले अनसमृद्ध रिकॉर्डों के बैकलॉग को साफ नहीं कर सका।

प्रतिक्रिया एक ट्राइएज मॉडल थी। निस्ट अब सीवीई के लिए समृद्धि को प्राथमिकता देता है जो सीआईएसए के जाने जाने वाले शोषित वल्नरेबिलिटी कैटलॉग में हैं — एक व्यवसायिक दिन के भीतर उन्हें समृद्ध करने का लक्ष्य — साथ ही साथ संघीय सरकार में उपयोग किए जाने वाले सॉफ्टवेयर और महत्वपूर्ण सॉफ्टवेयर को प्रभावित करने वाले सीवीई, जैसा कि कार्यकारी आदेश 14028 द्वारा परिभाषित किया गया है, बिडेन प्रशासन के 2021 के संघीय साइबर सुरक्षा निर्देश। बाकी सब कुछ सूचीबद्ध है लेकिन “न्यूनतम प्राथमिकता – तत्काल समृद्धि के लिए निर्धारित नहीं” के रूप में लेबल किया गया है, और 1 मार्च, 2026 से पहले प्रकाशित प्रत्येक बैकलॉग सीवीई को “निर्धारित नहीं” श्रेणी में स्थानांतरित कर दिया गया था। निस्ट ने यह भी बंद कर दिया अपना खुद का गंभीरता स्कोर जारी करने का अभ्यास जब जमा करने वाले सीवीई नंबरिंग प्राधिकरण ने पहले से ही एक प्रदान किया था।

आधुनिकीकरण का काम ट्राइएज के साथ-साथ जारी रहा। 17 जून, 2026 को, एनवीडी ने अपने डेटा फीड और एपीआई का विस्तार किया सीआईएसए के अधिकृत डेटा प्रकाशक से हितधारक-विशिष्ट वल्नरेबिलिटी वर्गीकरण डेटा ले जाने के लिए, साथ ही मौजूदा गंभीरता स्कोर, साथ ही सीवीई रिकॉर्ड से प्रभावित सॉफ्टवेयर के संरचित सूचियां। तैनाती डेटाबेस में लगभग 95% वल्नरेबिलिटी को छुई, और निस्ट ने एपीआई उपयोगकर्ताओं को बड़े पेलोड और ऊंचा लेटेंसी की उम्मीद करने की चेतावनी दी।

आधुनिकीकरण डॉकेट क्या आकार दे सकता है

नोटिस टिप्पणी रिकॉर्ड को अगले चरण के लिए कच्चा माल के रूप में स्थिति देता है: वास्तुकला, मानक विकास, और डेटा शासन सभी लक्ष्य के रूप में नामित हैं। सुरक्षा टीमों के लिए जिनके टूलिंग पहले से ही एनवीडी समृद्धि पर निर्भर करता है, प्राथमिकता मानदंडों, मशीन-Readable डेटा, और स्कोरिंग मानकों पर प्रश्न वे हैं जो भविष्य के एनवीडी कार्यों में सबसे अधिक संभावना है — अप्रैल के ट्राइएज मॉडल द्वारा पुनर्व्यवस्थित किए गए कार्य। निस्ट ने टिप्पणीकारों को भी अनप्रकाशित अध्ययन और सांख्यिकीय डेटा संलग्न करने के लिए आमंत्रित किया है, जो यह संकेत देता है कि एजेंसी स्थिति बयानों के बजाय साक्ष्य चाहती है।

टिप्पणी अवधि 13 अक्टूबर, 2026 को बंद हो जाएगी। उस तिथि के बाद प्राप्त प्रस्तुतियां विचार के लिए नहीं ली जा सकती हैं। निस्ट ने यह भी टिप्पणीकारों को अनप्रकाशित अध्ययन और सांख्यिकीय डेटा संलग्न करने के लिए आमंत्रित किया है, जो यह संकेत देता है कि एजेंसी स्थिति बयानों के बजाय साक्ष्य चाहती है। टिप्पणी अवधि 13 अक्टूबर, 2026 को बंद हो जाएगी। उस तिथि के बाद प्राप्त प्रस्तुतियां विचार के लिए नहीं ली जा सकती हैं।

NVD कार्यों — अप्रैल के ट्राइएज मॉडल द्वारा पुनर्व्यवस्थित किए गए कार्यों। निस्ट ने टिप्पणीकारों को भी अनप्रकाशित अध्ययन और सांख्यिकीय डेटा संलग्न करने के लिए आमंत्रित किया है, जो यह संकेत देता है कि एजेंसी स्थिति बयानों के बजाय साक्ष्य चाहती है। टिप्पणी अवधि 13 अक्टूबर, 2026 को बंद हो जाएगी। उस तिथि के बाद प्राप्त प्रस्तुतियां विचार के लिए नहीं ली जा सकती हैं।