O fluxo de relatórios de vulnerabilidades assistidos por LLM submergiu mantenedores e equipes de segurança alike. Sys Admins, SREs e equipes de App Sec enfrentam novos CVEs diariamente que exigem avaliação e patching. Documentos VEX oferecem uma maneira legível por máquina de declarar se um produto de software está realmente exposto a uma vulnerabilidade conhecida, permitindo triagem mais inteligente.
Varredura baseada em SBOM frequentemente sinaliza vulnerabilidades que não são realmente acessíveis no código, criando ruído. Por exemplo, um simples programa Go usando golang.org/x/text v0.38.0 mostra dois CVEs via grype, mas nenhum afeta o programa pois as funções vulneráveis não são usadas. Criação manual de VEX é possível mas não escala com tamanho do código ou mudanças em dependências.
Análise de acessibilidade via ferramentas como govulncheck resolve isso usando análise estática e o banco de dados de vulnerabilidades Go para identificar apenas falhas exploráveis. Na amostra, govulncheck reporta zero vulnerabilidades no código, apesar de encontrar problemas em dependências. Esta abordagem permite equipes patchar apenas quando verdadeiramente afetadas, reduzindo ruído e esforço manual.
No entanto, este modelo quebra para sistemas operacionais devido a ambientes complexos e dinâmicos onde acessibilidade estática é mais difícil de garantir. VEX continua promissor, mas automação depende da capacidade do ecossistema de fornecer dados de explorabilidade precisos e acionáveis por máquina.
Fonte: Hacker News · Resumido por HeadlinesBriefing