Поток отчетов об уязвимостях с помощью LLM затопил maintainers и команды безопасности alike. Sys Admins, SRE и команды App Sec ежедневно сталкиваются с новыми CVE, требующими оценки и патчинга. Документы VEX предлагают machine-readable способ заявить,暴露 ли продукт программного обеспечения известной уязвимости, что позволяет smarter триеровке. Сканирование на основе SBOM часто помечает уязвимости, которые недостижимы в коде, создавая шум. Например, простая программа Go, использующая golang.org/x/text v0.38.0, показывает два CVE через grype, но ни одна не влияет на программу, так как уязвимые функции не используются. Ручное создание VEX возможно, но не масштабируется с размером кода или изменениями зависимостей. Анализ достижимости с помощью инструментов, таких как govulncheck, решает эту проблему, используя статический анализ и базу данных уязвимостей Go для выявления только эксплуатируемых flaw. В образце govulncheck сообщает о нулевых уязвимостях в коде, несмотря на обнаружение проблем в зависимостях. Этот подход позволяет командам патчить только при реальном воздействии, уменьшая шум и ручной труд. Однако эта модель ломается для операционных систем из-за сложных, динамичных сред, где статическая достижимость сложна для гарантии. VEX остаётся многообещающим, но автоматизация зависит от способности экосистемы предоставить точные, machine-actionable данные об эксплуатируемости.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing