LLM支援の脆弱性レポートの洪水が、メンテナーやセキュリティチーム alikeを圧倒している。Sys Admins、SRE、App Secチームは、毎日評価とパッチが必要な新しいCVEに直面している。VEXドキュメントは、あるソフトウェア製品が実際に既知の脆弱性に晒されているかどうかを機械可読で宣言する方法を提供し、smartなトリアージを可能にする。SBOMベースのスキャンは、コードで実際に到達できない脆弱性を frequently フラグ付き、ノイズを生成する。例として、golang.org/x/text v0.38.0を使用する単純なGoプログラムは、grype経由で2つのCVEを表示するが、脆弱な関数が使用されていないため、プログラムには影響しない。手動でのVEX作成は可能だが、コードベースの大きさや依存関係の変化にはスケールしない。govulncheckなどのツールによる到達可能性分析は、静的分析とGoの脆弱性データベースを使用して、exploitableなflawのみを特定することでこの問題を解決する。サンプルでは、依存関係で問題が見つかったにもかかわらず、govulncheckはコード中的にゼロの脆弱性と報告する。このアプローチは、チームが実際に影響を受けた場合にのみパッチを適用できるようにし、ノイズと手動労働を削減する。しかし、このモデルは、静的な到達可能性が保証しやすい複雑で動的な環境のため、オペレーティングシステムでは破綻する。VEXは依然として約束されるが、自動化は、エコシステムが正確で機械 actionable なexploitabilityデータを提供できるかどうかに依存する。
出典: Hacker News · 要約：HeadlinesBriefing