LLM 辅助生成的漏洞报告如潮水般涌来，让维护者和安全团队不堪重负。系统管理员、SRE 和应用安全团队每天都要面对新的 CVE，需要评估和修补。VEX 文档提供了一种机器可读的方式，声明某个软件产品是否真的暴露于已知漏洞，从而实现更智能的分类。基于 SBOM 的扫描常常标记出代码中实际上无法到达的漏洞，造成大量噪音。例如，一个使用 golang.org/x/text v0.38.0 的简单 Go 程序通过 grype 显示两个 CVE，但由于脆弱函数未被使用，这些漏洞实际上并不影响该程序。手动创建 VEX 是可行的，但无法随代码库规模或依赖变化而扩展。通过 govulncheck 等工具进行的可达性分析利用静态分析和 Go 漏洞数据库，仅识别可被利用的缺陷，从而解决这一问题。在示例中，尽管在依赖中发现了问题，govulncheck 报告代码中零漏洞。这种方法使团队仅在真正受影响时才进行修补，减少噪音和手动工作量。然而，这种模型在操作系统中会失效，因为环境复杂且动态，静态可达性难以保证。VEX 仍然有前景，但自动化依赖于生态系统能否提供精确的、机器可操作的可利用性数据。
来源: Hacker News · 由HeadlinesBriefing整理摘要