Le flot de rapports de vulnérabilités assistés par LLM a submergé les maintainers et les équipes de sécurité alike. Les Sys Admins, SRE et équipes App Sec font face chaque jour à de nouvelles CVE nécessitant une évaluation et un patch. Les documents VEX offrent une manière lisible par machine de stipuler si un logiciel est effectivement exposé à une vulnérabilité connue, permettant un tri plus intelligent.
Le scan basé SBOM signale souvent des vulnérabilités qui ne sont pas réellement atteignables dans le code, créant du bruit. Par exemple, un simple programme Go utilisant golang.org/x/text v0.38.0 montre deux CVE via grype, mais aucun n'affecte le programme car les fonctions vulnérables ne sont pas utilisées. La création manuelle de VEX est possible mais ne scale pas avec la taille du codebase ou les changements de dépendances.
L'analyse de atteignabilité via des outils comme govulncheck résout cela en utilisant analyse statique et la base de données de vulnérabilités Go pour identifier seulement les flaws exploitables. Dans l'échantillon, govulncheck rapporte zéro vulnérabilités dans le code, malgré la découverte de problèmes dans les dépendances. Cette approche permet aux équipes de patcher seulement lorsqu'elles sont effectivement affectées, réduisant bruit et effort manuel.
Cependant, ce modèle casse pour les systèmes d'exploitation à cause d'environnements complexes et dynamiques où l'atteignabilité statique est plus difficile à garantir. VEX reste prometteur, mais l'automatisation dépend de la capacité de l'écosystème à fournir des données d'exploitabilité précises et actionnables par machine.
Source: Hacker News · Résumé par HeadlinesBriefing