L’NIST apre la modernizzazione del National Vulnerability Database al commento pubblico

L’Istituto nazionale degli standard e della tecnologia sta chiedendo al pubblico come ricostruire il National Vulnerability Database per un’era di intelligenza artificiale, aprendo una finestra di commento di 62 giorni il 12 agosto 2026 che si chiuderà il 13 ottobre 2026 alle 23:59 Eastern Time. La richiesta di informazioni pubblicata nel Federal Register cerca input sulla scalabilità, automazione, interoperabilità, trasparenza e utilità dell’NVD, e su dove l’intelligenza artificiale dovrebbe, e non dovrebbe, essere affidata all’interno del processo di gestione delle vulnerabilità.

L’NVD è il repository del governo degli Stati Uniti per i dati di gestione delle vulnerabilità basati su standard, istituito e operato dal Laboratorio di tecnologia dell’informazione dell’NIST. Ingestisce record dal programma Common Vulnerabilities and Exposures entro circa un’ora dalla pubblicazione, quindi li arricchisce con punteggi di gravità e dettagli sui prodotti interessati che gli strumenti di sicurezza consumano attraverso la sua interfaccia web e le API. Il comunicato descrive l’NVD come una risorsa fondamentale per la gestione delle vulnerabilità, la sicurezza del software, l’automazione della conformità e l’analisi del rischio di sicurezza informatica nei settori pubblico e privato.

La RFI è esplicita sul perché l’NIST stia agendo. Il comunicato descrive un ecosistema plasmato da strumenti di sicurezza informatica abilitati all’intelligenza artificiale e da cicli di consegna accelerati, in cui gli attori malintenzionati potrebbero utilizzare i sistemi di intelligenza artificiale per scoprire e sfruttare le vulnerabilità su larga scala. Gli approcci tradizionali basati su scansioni periodiche, priorità statiche e rimedio manuale, afferma, stanno mostrando la loro inadeguatezza. L’NIST definisce l’obiettivo come un ecosistema di gestione delle vulnerabilità pronto per il futuro, che sia “continuo, contestuale e automatizzato”.

Sette aree di domande, dalla triage alla rimozione

Il comunicato organizza le sue domande in sette aree. Sul processo, chiede dove l’automazione abilitata all’intelligenza artificiale appartenga nel ciclo di vita delle vulnerabilità e quali compiti dovrebbero rimanere sotto revisione umana. Sulla valutazione del rischio, chiede come funzionerebbe la priorità contestuale e come la trasparenza e la tracciabilità nelle decisioni di priorità guidate dall’intelligenza artificiale potrebbero essere migliorate. Sulla rimozione, chiede quale ruolo i sistemi di intelligenza artificiale dovrebbero svolgere nella generazione di soluzioni, quali salvaguardie catturerebbero le soluzioni di rimozione generate dall’intelligenza artificiale errate e quali blocchi ostacolano le organizzazioni dal correggere le vulnerabilità anche quando ricevono informazioni complete e tempestive.

Due sezioni vanno oltre le operazioni quotidiane. Una chiede se gli identificatori esistenti, gli schemi di denominazione dei prodotti e i sistemi di punteggio della gravità siano sufficienti per una priorità azionabile nell’era dell’intelligenza artificiale e quali lacune rimangano nei dati di vulnerabilità leggibili dalle macchine. L’altra chiede ai rispondenti di definire cosa dovrebbe diventare l’NVD: quali capacità e servizi aumenterebbero il suo impatto nei prossimi cinque anni, quali tendenze emergenti dovrebbe anticipare e quali metriche dovrebbero tracciare se la modernizzazione ha successo.

Le risposte informeranno la pianificazione strategica, le decisioni di architettura tecnica, lo sviluppo di standard e best practice, la governance dei dati e le collaborazioni comunitarie, afferma il comunicato. I commenti devono essere presentati elettronicamente attraverso regulations.gov sotto il docket NIST-2026-0100; l’NIST non accetterà presentazioni per posta, fax o e-mail, e tutti i commenti saranno pubblicati senza censura. Il comunicato avverte i commentatori di non includere informazioni personali o di business riservate.

Un database già sotto sforzo

La RFI arriva quattro mesi dopo che l’NIST ha ammesso di non poter più tenere il passo con il carico di lavoro principale del database. In un annuncio del 15 aprile 2026, l’agenzia ha rivelato che le presentazioni di CVE sono aumentate del 263% tra il 2020 e il 2025 e che le presentazioni nei primi tre mesi del 2026 sono state quasi un terzo più elevate rispetto allo stesso periodo dell’anno precedente. L’NIST ha arricchito quasi 42.000 CVE nel 2025, il 45% in più di qualsiasi anno precedente, e non è ancora riuscito a eliminare un arretrato di record non arricchiti che si stava accumulando dal primo trimestre del 2024.

La risposta è stata un modello di triage. L’NIST ora dà priorità all’arricchimento per i CVE nel catalogo delle vulnerabilità sfruttate note di CISA — con l’obiettivo di arricchirli entro un giorno lavorativo — insieme ai CVE che interessano il software utilizzato nel governo federale e il software critico come definito dal Executive Order 14028, la direttiva del 2021 dell’amministrazione Biden sulla sicurezza informatica federale. Tutto il resto è elencato ma etichettato come “Priorità più bassa – non in programma per l’arricchimento immediato” e ogni CVE in arretrato pubblicato prima del 1° marzo 2026 è stato spostato in una categoria “Non pianificato”. L’NIST ha anche smesso di rilasciare regolarmente il proprio punteggio di gravità quando l’autorità di numerazione CVE che presentava aveva già fornito uno.

I lavori di modernizzazione sono proseguiti accanto al modello di triage. Il 17 giugno 2026, l’NVD ha esteso i feed di dati e le API per trasportare i dati di categorizzazione delle vulnerabilità specifici degli stakeholder da CISA’s Authorized Data Publisher insieme ai punteggi di gravità esistenti, più elenchi strutturati di software interessato tratti dai record CVE. La distribuzione ha interessato circa il 95% di tutte le vulnerabilità nel database e l’NIST ha avvertito gli utenti dell’API di aspettarsi payload più grandi e una latenza più elevata durante l’aggiornamento.

Cosa potrebbe plasmare il docket di modernizzazione

Il comunicato posiziona il registro dei commenti come materiale grezzo per la prossima fase dell’NVD: l’architettura, lo sviluppo di standard e la governance dei dati sono tutti nominati come obiettivi. Per i team di sicurezza il cui strumento dipende già dall’arricchimento dell’NVD, le domande sui criteri di priorità, i dati leggibili dalle macchine e gli standard di punteggio sono quelle più probabili da emergere nei futuri flussi di lavoro dell’NVD — gli stessi flussi di lavoro che il modello di triage di aprile ha riorganizzato. L’NIST ha anche invitato i commentatori ad allegare studi non pubblicati e dati empirici, un segnale che l’agenzia vuole prove, non solo dichiarazioni di posizione.

Il periodo di commento si chiuderà il 13 ottobre 2026. Le presentazioni ricevute dopo tale data potrebbero non essere considerate.