LLM-सहायता प्राप्त वुलनरिबिलिटी रिपोर्ट की बाढ़ ने मेंटेनर्स और सिक्यूरिटी टीमों को अकड़ दिया है। सिस्टम एडमिनिस्ट्रेटर्स, SRE और एप्प सेक्यूरिटी टीमें रोज़ाना नए CVEs का सामना करती हैं जिनका मूल्यांकन और पैचिंग की आवश्यकता होती है। VEX डॉक्यूमेंट्स मशीन-रीडेबल तरीके से यह बताते हैं कि क्या कोई सॉफ्टवेयर उत्पाद वास्तव में किसी ज्ञात वुलनरिबिलिटी से एक्सपोज़ है, जिससे स्मार्टर ट्रायजमेंट संभव होता है। SBOM-आधारित स्कैनिंग अक्सर ऐसी वुलनरिबिलिटीज को फ्लैग करता है जो कोड में वास्तव में पहुंच योग्य नहीं हैं, जिससे नॉज़ बढ़ जाता है। उदाहरण के रूप में, golang.org/x/text v0.38.0 का उपयोग करने वाला एक साधारण Go प्रोग्राम grype के माध्यम से दो CVEs दिखाता है, लेकिन न तो वह प्रोग्राम को प्रभावित करता है क्योंकि असुरक्षित फंक्शन अनुपयोग में नहीं हैं। मैनुअल VEX निर्माण संभव है लेकिन कोडबेस के आकार और डिपेंडेंसी परिवर्तन के साथ यह पैमाने पर नहीं आता। गवुल्नचेक जैसे टूल्स के माध्यम से रिचेचेबिलिटी एनालिसिस इस समस्या को हल करता है क्योंकि यह स्टेटिक एनालिसिस और Go वुलनरिबिलिटी डेटाबेस का उपयोग करके केवल एक्सप्लोइटेबल फ्लॉट की पहचान करता है। नमूने में, गवुल्नचेक कोड में शून्य वुलनरिबिलिटीज रिपोर्ट करता है, हालांकि वह डिपेंडेंसीज में मुद्दे खोजता है। यह दृष्टिकोण टीमों को केवल तब पैच करने की अनुमति देता है जब वे वास्तव में प्रभावित हों, जिससे नॉज़ और मैनुअल प्रयास कम हो जाता है। हालांकि, यह मॉडल ऑपरेटिंग सिस्टम्स के लिए टूट जाता है क्योंकि जटिल, डायनामिक वातावरण में स्टेटिक रिचेचेबिलिटी की गारंटी देना कठिन हो जाता है। VEX अभी भी प्रतिज्ञापनीय है, लेकिन ऑटोमेशन को एकॉसिस्टम की क्षमता पर निर्भर करता है कि वह प्रीसिज़, मशीन-एक्शनेबल एक्सप्लोइटेबिलिटी डेटा प्रदान कर सके।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित