El torrente de reportes de vulnerabilidades asistidos por LLM ha abrumado a maintainers y equipos de seguridad por igual. Sys Admins, SREs y equipos de App Sec se enfrentan diariamente a nuevos CVEs que requieren evaluación y parcheo. Los documentos VEX ofrecen una forma legible por máquina de declarar si un producto de software está realmente expuesto a una vulnerabilidad conocida, permitiendo un triaje más inteligente.
El escaneo basado en SBOM suele señalar vulnerabilidades que no son realmente alcanzables en el código, creando ruido. Por ejemplo, un programa simple de Go que usa golang.org/x/text v0.38.0 muestra dos CVEs a través de grype, pero ninguno afecta al programa ya que las funciones vulnerables no se usan. La creación manual de VEX es posible pero no escala con el tamaño del códigobase o los cambios en dependencias.
El análisis de alcanzabilidad a través de herramientas como govulncheck resuelve esto usando análisis estático y la base de datos de vulnerabilidades de Go para identificar solo flaw explotables. En la muestra, govulncheck reporta cero vulnerabilidades en el código, a pesar de encontrar problemas en dependencias. Este enfoque permite a los equipos parchear solo cuando están verdaderamente afectados, reduciendo ruido y esfuerzo manual.
Sin embargo, este modelo falla para sistemas operativos debido a entornos complejos y dinámicos donde la alcanzabilidad estática es más difícil de garantizar. VEX sigue siendo prometedor, pero la automatización depende de la capacidad del ecosistema de proporcionar datos de explotabilidad precisos y accionables por máquina.
Fuente: Hacker News · Resumido por HeadlinesBriefing