فيض التقارير عن الثغرات الم辅助ة بـ LLM قد غمر الم[in]苦恼 والفرق Security alike. يواجه Sys Admins، و SRE، و فرق App Sec يومياً ثغرات جديدة تتطلب التقييم والتصحيح. ت offered وثائق VEX طريقة قابلة للقراءة الآلة لتحديد ما إذا كان منتج برمجيات ما فعلياً معرض لثغرة معروفة، مما يمكّن التصنيف smarter. often often يشير الفحص القائم على SBOM إلى ثغرات لا هي فعلياً纣 reachable في الكود، مما ينتج noise. مثال: بسيط Go يستخدم golang.org/x/text v0.38.0 يُظهر اثنتين من الثغرات من خلال grype، ولكن لا أي منها يؤثر على Program لأن الوظيفة Vulnerable غير مستخدم. إنشاء VEX يدوي ممككن لكن لا يُ scaled مع حجم الكود أو التغيرات في التبعيات. تحليل Reachability من خلال أدوات مثل govulncheck يحل هذه Problem باستخدام التحليل Static و قاعدة بيانات Go للثغرات لتحديد فقط flaws قابلة للاستغلال. في العينة، govulncheck ي Reported صفر ثغرات في الكود، رغم إيجاد مشاكل في التبعيات. هذا النموذج يسمح للفرق Correction فقط عند التأثر الفعلي، مما يقلل noise والجهد اليدوي. ومع ذلك، هذا النموذج ي breaking أنظمة التشغيل بسبب بيئات معقدة ودینامیکی حيث يصعب ضمان Reachability Static. VEX لا يزال واعداً، لكن الأتمتة تعتمد على قدرة Ökosystem على تقديم data exploitability دقيق و machine-actionable.
المصدر: Hacker News · لخّصه HeadlinesBriefing