NIST Membuka Modernisasi Basis Data Kerentanan Nasional untuk Komentar Publik

Institut Nasional untuk Standar dan Teknologi meminta publik untuk memberikan masukan tentang bagaimana membangun kembali Basis Data Kerentanan Nasional untuk era kecerdasan buatan, membuka jendela komentar selama 62 hari pada 12 Agustus 2026 yang ditutup pada 13 Oktober 2026 pukul 23:59 Waktu Timur. Permintaan informasi yang dipublikasikan di Federal Register mencari masukan tentang skalabilitas NVD, otomatisasi, interoperabilitas, transparansi, dan utilitas, serta di mana kecerdasan buatan harus dan tidak boleh dipercaya di dalam pipa manajemen kerentanan.

NVD adalah repositori standar berbasis data manajemen kerentanan milik pemerintah AS, yang didirikan dan dioperasikan oleh Laboratorium Teknologi Informasi NIST. Ini mengonsumsi catatan dari program Common Vulnerabilities and Exposures dalam waktu sekitar satu jam setelah publikasi, kemudian memperkayanya dengan skor keparahan dan detail produk yang terkena yang digunakan oleh alat keamanan melalui antarmuka web dan API-nya. Pemberitahuan tersebut menjelaskannya sebagai sumber daya dasar untuk manajemen kerentanan, keamanan perangkat lunak, otomatisasi kepatuhan, dan analisis risiko keamanan siber di seluruh sektor publik dan swasta.

RFI tersebut secara eksplisit menjelaskan mengapa NIST bertindak. Pemberitahuan tersebut menjelaskan ekosistem yang dibentuk oleh alat keamanan siber yang ditenagai kecerdasan buatan dan siklus pengiriman yang dipercepat, di mana aktor jahat mungkin menggunakan sistem kecerdasan buatan untuk menemukan dan mengeksploitasi kerentanan dalam skala besar. Pendekatan tradisional yang dibangun berdasarkan pemindaian berkala, prioritisasi statis, dan perbaikan manual, katanya, menunjukkan ketidakcukupannya. NIST membingkai tujuan sebagai ekosistem manajemen kerentanan yang siap untuk masa depan yang “kontinu, kontekstual, dan otomatis.”

Tujuh Area Pertanyaan, Dari Triage ke Perbaikan

Pemberitahuan tersebut mengorganisir pertanyaannya ke dalam tujuh area. Mengenai proses, ia bertanya di mana otomatisasi yang ditenagai kecerdasan buatan milik dalam siklus hidup kerentanan dan tugas mana yang harus tetap berada di bawah tinjauan manusia. Mengenai penilaian risiko, ia bertanya bagaimana prioritisasi kontekstual harus bekerja dan bagaimana transparansi dan auditabilitas dalam keputusan prioritisasi yang didorong kecerdasan buatan dapat ditingkatkan. Mengenai perbaikan, ia bertanya peran apa yang harus dimainkan sistem kecerdasan buatan dalam menghasilkan perbaikan, apa yang akan menangkap perbaikan yang dihasilkan kecerdasan buatan yang salah, dan apa yang menghalangi organisasi untuk memperbaiki bahkan ketika mereka menerima informasi kerentanan yang lengkap dan tepat waktu.

Dua bagian melampaui operasi sehari-hari. Satu bertanya apakah pengidentifikasi yang ada, skema penamaan produk, dan sistem skor keparahan yang cukup untuk prioritisasi yang dapat dilakukan dalam era kecerdasan buatan, dan apa celah yang masih ada dalam data kerentanan yang dapat dibaca mesin. Yang lain bertanya kepada responden untuk mendefinisikan apa yang harus menjadi NVD: kemampuan dan layanan apa yang akan meningkatkan dampaknya selama lima tahun ke depan, tren apa yang harus diantisipasi, dan metrik apa yang harus melacak apakah modernisasi berhasil.

Tanggapan akan mempengaruhi perencanaan strategis, keputusan arsitektur teknis, pengembangan standar dan praktik terbaik, tata kelola data, dan kolaborasi masyarakat, kata pemberitahuan tersebut. Komentar harus diajukan secara elektronik melalui regulations.gov di bawah docket NIST-2026-0100; NIST tidak akan menerima pengajuan melalui surat, faks, atau surel, dan semua komentar diposting secara publik tanpa sensor. Pemberitahuan tersebut memperingatkan komentator untuk tidak memasukkan informasi pribadi atau bisnis yang bersifat rahasia.

Basis Data yang Sudah Mengalami Keterbatasan

RFI tersebut diluncurkan empat bulan setelah NIST mengakui bahwa mereka tidak dapat lagi mengikuti beban kerja inti basis data. Dalam pengumuman 15 April 2026, badan tersebut mengungkapkan bahwa pengajuan CVE meningkat 263% antara 2020 dan 2025, dan bahwa pengajuan dalam tiga bulan pertama 2026 berjalan hampir sepertiga lebih tinggi daripada periode yang sama setahun sebelumnya. NIST memperkaya hampir 42.000 CVE pada 2025, 45% lebih banyak daripada tahun sebelumnya, dan masih tidak dapat membersihkan backlog catatan yang belum diperkaya yang telah berkembang sejak awal 2024.

Responnya adalah model triage. NIST sekarang memprioritaskan pemperkayaan untuk CVE dalam katalog Kerentanan yang Dieksploitasi yang Diketahui oleh CISA — dengan tujuan memperkaya yang dalam satu hari kerja — bersama dengan CVE yang mempengaruhi perangkat lunak yang digunakan dalam pemerintah federal dan perangkat lunak kritis seperti yang didefinisikan oleh Perintah Eksekutif 14028, direktif keamanan siber federal 2021 dari pemerintahan Biden. Semua yang lain terdaftar tetapi diberi label “Prioritas Terendah – tidak dijadwalkan untuk pemperkayaan segera,” dan setiap catatan CVE yang tertunda yang dipublikasikan sebelum 1 Maret 2026 dipindahkan ke kategori “Tidak Dijadwalkan”. NIST juga berhenti secara rutin menerbitkan skor keparahan sendiri ketika Otoritas Penomoran CVE telah menyediakan satu.

Pekerjaan modernisasi terus berlanjut bersamaan dengan triage. Pada 17 Juni 2026, NVD memperluas umpan data dan API-nya untuk membawa data Kategorisasi Kerentanan Spesifik Stakeholder dari Penerbit Data Otorisasi CISA bersama dengan skor keparahan yang ada, plus daftar terstruktur perangkat lunak yang terkena yang diambil dari catatan CVE. Penerapan tersebut menyentuh sekitar 95% dari semua kerentanan dalam basis data, dan NIST memperingatkan pengguna API untuk mengharapkan payload yang lebih besar dan latensi yang ditingkatkan selama pembaruan.

Apa yang Dapat Dibentuk oleh Docket Modernisasi

Pemberitahuan tersebut memposisikan catatan komentar sebagai bahan baku untuk fase berikutnya NVD: arsitektur, pengembangan standar, dan tata kelola data semua disebutkan sebagai target. Untuk tim keamanan yang tool-nya sudah bergantung pada pemperkayaan NVD, pertanyaan tentang kriteria prioritas, data yang dapat dibaca mesin, dan standar skor keparahan adalah yang paling mungkin muncul dalam alur kerja NVD di masa depan — alur kerja yang sama yang model triage April telah mengatur ulang. NIST juga telah mengundang komentator untuk melampirkan studi yang belum dipublikasikan dan data empiris, sebuah sinyal bahwa badan tersebut menginginkan bukti, bukan hanya pernyataan posisi.

Periode komentar ditutup pada 13 Oktober 2026. Pengajuan yang diterima setelah tanggal tersebut mungkin tidak dipertimbangkan.