NIST Busca Plano Público para Modernizar a NVD na Era da IA

O NIST abriu uma consulta de 60 dias sobre a reconstrução de um sistema de vulnerabilidades que já enfrentava dificuldades antes de a IA acelerar a descoberta e a exploração de software. A manchete no Google News capta a ambição, mas o conflito é mais profundo do que adicionar um recurso de IA a um banco de dados governamental.

A National Vulnerability Database, ou NVD, transforma registros básicos de vulnerabilidades em informações que as equipes de segurança podem usar para priorização. O NIST agora quer tornar esse sistema mais automatizado, contextual, interoperável e transparente. Também busca orientação pública sobre os pontos em que os humanos devem continuar envolvidos.

Essa combinação expõe a tensão central. A automação pode processar dados de vulnerabilidades mais rapidamente, mas uma automação pouco confiável pode produzir pontuações ruins, correspondências incorretas de produtos e orientações inseguras de correção. Por isso, o NIST pergunta como aumentar a velocidade das máquinas sem sacrificar a confiança que tornou a NVD útil.

A consulta ocorre após uma retração operacional anunciada quatro meses antes. Em abril, o NIST deixou de prometer enriquecimento imediato para todos os registros Common Vulnerabilities and Exposures, comumente chamados de CVE. Passou a adotar processamento seletivo depois que as submissões cresceram muito mais rápido do que sua capacidade analítica.

Não se trata de uma atualização tecnológica rotineira. O NIST está reconsiderando como as informações sobre vulnerabilidades transitam da descoberta pela validação, divulgação, priorização e correção. A resposta influenciará sistemas governamentais, produtos comerciais de segurança, projetos de código aberto e fluxos de aplicação de patches em empresas.

O NIST Pergunta Quem Deve Controlar uma NVD Automatizada

A mudança imediata é uma solicitação formal de ideias, não uma arquitetura finalizada para a NVD nem um compromisso de implantar IA autônoma.

O Information Technology Laboratory do NIST emitiu sua solicitação de modernização para publicação no Federal Register em 12 de agosto de 2026. As respostas serão incluídas no processo NIST-2026-0100 e devem chegar em até 60 dias após a publicação.

A agência afirma que seus objetivos incluem maior escalabilidade, automação, interoperabilidade, transparência e utilidade. Essas metas abrangem muito mais do que um modelo de classificação mais rápido. Elas alcançam governança, padrões de dados, identificação de produtos, pontuação de risco, correção e coordenação entre organizações públicas e privadas.

Hoje, a NVD ingere automaticamente um registro CVE cerca de uma hora após sua publicação. Analistas da NVD podem então adicionar pontuações de severidade, versões de produtos afetadas, informações sobre fraquezas e outros contextos. Ferramentas de segurança consomem essas adições pelo site, feeds e interfaces de programação de aplicações.

Esse enriquecimento é importante porque um identificador CVE, por si só, não informa a uma organização se um produto vulnerável está presente. Tampouco estabelece atividade de exploração, exposição empresarial ou urgência de correção. As máquinas exigem contexto estruturado antes de poder transformar uma divulgação em uma decisão operacional.

A RFI pergunta em que pontos a automação habilitada por IA produziria a maior melhoria ao longo do ciclo de vida da vulnerabilidade. Também pergunta quais decisões precisam de revisão humana e quais evidências os revisores devem receber. Essa distinção torna a responsabilidade humana parte da arquitetura proposta.

O NIST também pergunta como a priorização automatizada pode permanecer transparente e auditável. Um sistema auditável preserva evidências suficientes para que as pessoas entendam como ele chegou a uma decisão. Essa qualidade se torna crucial quando uma pontuação ou correspondência de produto influencia qual vulnerabilidade recebe atenção imediata.

A correção traz consequências maiores. A consulta pergunta qual papel a IA deve desempenhar na geração e implantação de correções, quais salvaguardas são necessárias e como as organizações devem gerenciar correções geradas por IA. Um erro de classificação desperdiça o tempo dos analistas, enquanto um patch automatizado defeituoso pode interromper a produção.

As perguntas não pressupõem que a IA deva controlar todas as etapas. Em vez disso, convidam os participantes a definir limites adequados entre automação, revisão especializada, contexto organizacional e padrões de segurança existentes. O projeto final dependerá desses limites.

O processo público também deixa importantes detalhes de implementação em aberto. O NIST não selecionou um modelo, anunciou um cronograma de implantação nem definiu uma nova estrutura de financiamento na RFI. Está reunindo requisitos antes de estabelecer uma direção técnica de longo prazo.

Essa ressalva é importante para os leitores que chegam pelo Google News. O NIST iniciou um debate arquitetural, mas não concluiu a modernização descrita por muitas manchetes. O resultado dependerá das respostas públicas e de decisões posteriores da agência.

A Atenção do Google News Segue uma Crise de Capacidade

O NIST está se modernizando porque a produção de vulnerabilidades já superou as premissas por trás do enriquecimento abrangente conduzido por humanos.

As submissões de CVEs aumentaram 263 por cento entre 2020 e 2025, segundo o NIST. As submissões durante o primeiro trimestre de 2026 foram quase um terço maiores do que no período correspondente de 2025. Esses números descrevem um problema operacional que já existia antes da nova consulta.

O NIST enriqueceu quase 42.000 CVEs em 2025, um aumento de 45 por cento em relação ao seu recorde anual anterior. Essa produtividade ainda não acompanhou o volume de entrada. A agência acumulou um backlog substancial a partir do início de 2024 e depois reconheceu que não conseguia eliminá-lo.

Em 15 de abril, o NIST adotou um modelo de enriquecimento baseado em risco por meio de uma atualização operacional. Passou a priorizar vulnerabilidades no catálogo Known Exploited Vulnerabilities da CISA, softwares usados por agências federais e softwares críticos definidos pela Executive Order 14028.

O NIST pretende enriquecer vulnerabilidades no catálogo de exploração conhecida em até um dia útil após recebê-las. Outros CVEs submetidos continuam entrando na NVD, mas registros de menor prioridade não são programados para enriquecimento imediato. Usuários podem solicitar análise adicional quando acreditarem que um registro importante foi ignorado.

A agência também deixou de adicionar rotineiramente uma pontuação de severidade separada do NIST quando uma CVE Numbering Authority já havia fornecido uma. Reduziu a reanálise automática de registros modificados, exceto quando uma alteração afeta materialmente os dados de enriquecimento. Essas escolhas preservam a capacidade dos analistas ao limitar trabalho duplicado.

Registros acumulados publicados antes de 1º de março de 2026 foram movidos para a categoria “Not Scheduled” sob o novo processo. A mudança não excluiu seus identificadores CVE. No entanto, reconheceu que o enriquecimento universal pelo NIST deixou de ser uma promessa sustentável.

Essa retração criou as condições para a RFI de agosto. O NIST precisa de uma arquitetura que consuma dados distribuídos sem reproduzir internamente todas as análises. Também precisa distinguir contribuições confiáveis e legíveis por máquinas de informações incompletas, conflitantes ou favoráveis a fornecedores.

A agência já avançou nessa direção. Em 17 de junho, a NVD adicionou dados de Stakeholder-Specific Vulnerability Categorization, ou SSVC, fornecidos por um editor autorizado pela CISA. O SSVC ajuda tomadores de decisão a priorizar vulnerabilidades usando fatores que vão além de uma pontuação técnica estática de severidade.

A mesma implantação adicionou informações estruturadas sobre produtos “affected” a partir do formato de registro CVE. Segundo a atualização de implantação da NVD, a mudança no esquema atingiu cerca de 95 por cento das vulnerabilidades existentes. Também gerou feeds e respostas de interfaces de programação de aplicações maiores.

Essa atualização oferece uma pequena prévia do caminho de modernização. A NVD pode agregar decisões e dados de produtos afetados de outros participantes autorizados, em vez de gerar cada campo por conta própria. Ainda assim, a agregação transfere mais responsabilidade para esquemas comuns, qualidade dos colaboradores e rastreamento de procedência.

A IA aumenta a pressão em ambas as direções. Sistemas defensivos podem encontrar vulnerabilidades, agrupar duplicatas, propor avaliações de severidade e elaborar correções mais rapidamente. Operadores ofensivos podem usar capacidades semelhantes para descobrir fraquezas exploráveis e ampliar o trabalho pós-exploração.

A RFI não afirma que a IA, por si só, causou o aumento nas submissões. O NIST identifica várias forças, incluindo ciclos de desenvolvimento mais rápidos, qualidade de dados inconsistente e demanda crescente por inteligência legível por máquinas. A descoberta e a exploração assistidas por IA adicionam mais aceleração a essa carga já existente.

A interpretação mais útil, portanto, é operacional, não promocional. O NIST precisa de um sistema de vulnerabilidades projetado para atividade contínua de máquinas porque o modelo periódico, enriquecido manualmente, atingiu seu limite de capacidade.

A Principal Troca é Velocidade de Máquina Versus Confiança Pública

Uma NVD assistida por IA só terá êxito se cada julgamento automatizado permanecer rastreável, contestável e seguro o suficiente para decisões de segurança posteriores.

O gerenciamento de vulnerabilidades tradicionalmente combina vários julgamentos distintos. Analistas identificam uma falha, validam-na, coordenam sua divulgação, descrevem produtos afetados, estimam a severidade e conectam o resultado à correção. Automatizar um julgamento não resolve automaticamente os demais.

A identificação de produtos ilustra a dificuldade. Um aviso de fornecedor pode nomear um produto de forma diferente de um sistema de inventário ou de um dicionário padrão de produtos. Um sistema de IA pode sugerir uma correspondência, mas uma correspondência errada pode ocultar exposição ou gerar um alarme falso caro.

A priorização é igualmente contextual. Uma vulnerabilidade tecnicamente grave pode ser inalcançável em um ambiente e imediatamente perigosa em outro. Por isso, o NIST pergunta qual contexto organizacional e de sistemas é necessário para decisões de produção precisas.

O catálogo KEV oferece um sinal valioso ao identificar vulnerabilidades com evidências de exploração. Ele não representa todas as vulnerabilidades importantes, e o NIST reconhece abertamente que seus critérios atuais podem deixar passar casos de alto impacto.

A IA poderia ajudar a reunir um contexto mais amplo a partir de avisos de fornecedores, inventários de ativos, evidências de exploração, programas de divulgação e inteligência sobre ameaças. No entanto, a recomendação resultante deve identificar suas entradas e sua incerteza. Caso contrário, os usuários recebem uma resposta opaca que não pode ser contestada.

A transparência também afeta o viés. Modelos treinados com produtos bem documentados podem ter desempenho melhor do que modelos que avaliam fornecedores menores ou projetos de código aberto com poucos recursos. Documentação escassa pode fazer uma falha grave parecer menos certa, mesmo quando o risco subjacente é alto.

As perguntas do NIST sobre revisão humana abordam esse problema diretamente. Um sistema prático poderia automatizar a normalização rotineira e reservar casos ambíguos para analistas. O modelo não substituiria a revisão, mas poderia direcionar conhecimentos especializados limitados para registros com evidências conflitantes.

Essa abordagem ainda exige desempenho mensurável. Os participantes devem ajudar a definir métricas úteis para a modernização nos próximos cinco anos. A velocidade de processamento importa, mas também as taxas de correção, cobertura, diversidade de colaboradores, reprodutibilidade e utilidade posterior.

Um pipeline mais rápido que produz erros frequentes de correspondência de produtos transferiria trabalho em vez de eliminá-lo. As equipes de segurança passariam menos tempo esperando pelo enriquecimento e mais tempo validando resultados pouco confiáveis. O valor público da NVD vem da redução dessa incerteza.

A remediação automatizada eleva novamente o padrão. A IA pode propor alterações de código, atualizações de configuração ou controles compensatórios, mas a implantação depende do ambiente local. Uma correção que funciona em um caso de teste pode quebrar integrações, enfraquecer outro controle ou alterar o comportamento esperado.

Por isso, o NIST pergunta sobre controles contra remediações errôneas geradas por IA. Esses controles podem incluir testes, implantação em etapas, mecanismos de reversão, limites de aprovação, registros de procedência e monitoramento após a liberação. A RFI deixa a combinação específica em aberto para contribuições das partes interessadas.

O principal antagonista desta história não é o NIST contra um fornecedor comercial de segurança. É a promessa de automação contínua diante da realidade de que decisões de segurança continuam sendo contextuais e consequentes. Qualquer arquitetura que ignore esse conflito terá dificuldade para conquistar confiança.

É por isso que a consulta merece mais atenção do que sugere um breve resumo do Google News. Na prática, o NIST está pedindo à comunidade de segurança que projete uma cadeia de evidências para a gestão de vulnerabilidades assistida por máquinas. A velocidade é apenas um requisito dentro dessa cadeia.

Uma NVD Mais Conectada Pressionará Fornecedores de Segurança e Empresas

A modernização desloca a responsabilidade para fora porque o NIST não pode fornecer a todas as organizações um contexto de risco completo e específico de cada ambiente a partir de uma base de dados central.

A NVD sustenta um amplo ecossistema de scanners, sistemas de conformidade, ferramentas de composição de software, plataformas de operações de segurança e processos internos de engenharia. Alguns produtos ingerem seus dados diretamente. Outros combinam informações da NVD com pesquisa proprietária e telemetria de clientes.

O enriquecimento seletivo amplia a diferença entre essas abordagens. Uma ferramenta que depende principalmente de metadados adicionados pelo NIST pode encontrar pontuações ou mapeamentos de produtos ausentes em registros de menor prioridade. Um fornecedor com pesquisa independente pode preencher algumas lacunas, mas os clientes precisam avaliar esse processo.

Fornecedores comerciais têm incentivo para apresentar inteligência proprietária como resposta. Seus dados podem oferecer valor real, mas também levantam questões sobre transparência, portabilidade e cobertura. A infraestrutura pública do NIST continua importante porque oferece um ponto de referência amplamente acessível.

A RFI pergunta como a NVD deve se integrar a comunicados de fornecedores, programas de divulgação, provedores de inteligência de ameaças, plataformas de ativos, ferramentas de segurança e fluxos de remediação. Essa formulação sinaliza uma direção federada. O NIST parece interessado em conectar contribuições confiáveis, em vez de centralizar todas as tarefas analíticas.

A federação pode ampliar a escala ao distribuir o trabalho entre organizações mais próximas das evidências. Fornecedores entendem seus produtos, pesquisadores entendem as descobertas e empresas entendem os ativos que implantaram. A NVD pode padronizar como essas partes trocam informações.

No entanto, contribuições distribuídas criam problemas de governança. Um fornecedor pode minimizar a gravidade de sua própria falha, enquanto um pesquisador pode não ter informações completas sobre o produto. Pontuações conflitantes e alegações sobre versões afetadas precisam de procedência visível e de um processo de correção.

As equipes de segurança também precisarão preservar decisões locais. Uma empresa não pode presumir que uma classificação nacional de prioridade corresponde à sua própria exposição. Alcance pela internet, privilégios, sensibilidade dos dados, controles compensatórios e criticidade para o negócio podem alterar a resposta apropriada.

Isso torna o inventário de ativos um pré-requisito para a priorização contextual. As organizações não podem decidir se uma vulnerabilidade importa se não sabem quais softwares e versões operam. O NIST pergunta explicitamente sobre dependências como descoberta e inventário antes da remediação automatizada.

Os desenvolvedores enfrentam uma carga relacionada. Uma descoberta mais rápida de vulnerabilidades pode aumentar o número de correções que as equipes precisam avaliar, testar e implantar. Informações melhores ajudam, mas a capacidade de remediação pode se tornar o próximo gargalo depois que o enriquecimento acelerar.

Os mantenedores de código aberto enfrentam pressão particular porque componentes amplamente usados frequentemente dependem de equipes pequenas. Relatórios gerados por máquinas podem aumentar o volume de divulgações sem fornecer reproduções ou correções confiáveis. Um sistema moderno deve impedir que envios automatizados de baixa qualidade sobrecarreguem os mantenedores.

A NVD é apenas uma parte da resposta federal. Reportagens de julho descreveram o centro de compartilhamento Gold Eagle, liderado pelo Treasury, para o compartilhamento de ameaças cibernéticas relacionadas à IA. O Software Engineering Institute da Carnegie Mellon também opera o VINCE, uma plataforma para relato e coordenação de vulnerabilidades.

Ainda não está claro como esses programas interagem. A NVD é especializada em dados públicos padronizados sobre vulnerabilidades, enquanto plataformas de coordenação podem administrar divulgações entre pesquisadores e fornecedores. Um centro de compartilhamento pode acrescentar funções de compartilhamento de ameaças e priorização.

Programas sobrepostos podem oferecer especialização útil, mas também podem duplicar envios e criar registros inconsistentes. As perguntas do NIST sobre interoperabilidade devem levar os participantes a explicar como identificadores, evidências, mudanças de status e correções transitam entre esses sistemas.

As empresas não devem esperar pela arquitetura final para revisar dependências. Elas devem identificar quais campos da NVD orientam scanners, regras de abertura de tickets, relatórios de conformidade e metas de nível de serviço. A ausência de enriquecimento pode afetar cada fluxo de trabalho de forma diferente.

As equipes também devem preservar a fonte e o carimbo de data e hora por trás de decisões automatizadas. Se um registro mudar, os analistas precisam saber quais dados anteriores acionaram uma correção ou exceção. Essa trilha de auditoria se torna essencial à medida que mais sistemas contribuem com contexto gerado por máquinas.

Assim, o processo de modernização pressionará os compradores tanto quanto os fornecedores. Os compradores precisam perguntar de onde vem a inteligência sobre vulnerabilidades, como os conflitos são resolvidos e se recomendações automatizadas expõem evidências de apoio. Uma pontuação de risco bem apresentada não é suficiente.

O Que os Leitores do Google News Devem Observar em Seguida

Três sinais mostrarão se a reformulação da NVD se torna uma infraestrutura duradoura ou permanece uma consulta ambiciosa sem suporte operacional suficiente.

O primeiro sinal é o processo público após o encerramento do período de comentários. Envios de fornecedores de segurança, fundações de código aberto, pesquisadores, agências federais e operadores empresariais devem revelar se uma arquitetura compartilhada é possível. Um amplo acordo sobre os limites da revisão humana fortaleceria a direção do NIST.

A discordância também será informativa. Fornecedores podem favorecer a ingestão automatizada de fontes proprietárias, enquanto participantes voltados ao interesse público podem priorizar padrões abertos e evidências transparentes. O NIST precisa conciliar esses incentivos sem tornar a base de dados pública dependente de sistemas fechados.

O segundo sinal é um roteiro concreto de modernização. A RFI pergunta sobre capacidades para os próximos cinco anos, mas não promete datas de entrega, níveis de equipe ou marcos técnicos. Um plano crível precisa de lançamentos em fases, métricas de desempenho, regras de governança e propriedade claramente definida.

O financiamento pertence a esse roteiro, embora o aviso atual não o defina. A automação exige avaliação de modelos, infraestrutura, testes de segurança, trabalho de padronização e supervisão humana contínua. Ela não elimina a necessidade de analistas qualificados.

O terceiro sinal é o desempenho operacional sob o modelo de priorização de abril. O NIST deve demonstrar que vulnerabilidades exploradas cumprem sua meta de enriquecimento em um dia útil, enquanto registros de menor prioridade permanecem visíveis e podem ser solicitados. Taxas de correção e metadados ausentes importam tanto quanto a capacidade de processamento.

A implantação do SSVC em junho oferece outro teste. Os consumidores precisam ingerir com sucesso os registros maiores, interpretar os novos campos e manter compatibilidade com fluxos de trabalho existentes. Atritos operacionais exporiam o custo de expandir esquemas em um grande ecossistema downstream.

Lançamentos futuros devem tornar a procedência automatizada fácil de inspecionar. Os usuários precisam distinguir entre pontuações fornecidas por fornecedores, avaliações da CISA, análises do NIST e recomendações geradas por IA. Essas distinções devem sobreviver a feeds, interfaces de programação de aplicações e integrações comerciais.

Observe métodos de avaliação publicados antes de qualquer grande implantação de IA. O NIST deve explicar como testa a precisão da classificação, a correspondência de produtos, a priorização e as sugestões de remediação. Funções de alto risco merecem limites mais rigorosos e maior supervisão humana.

Observe também como a agência lida com discordâncias. Um sistema confiável precisa de canais de correção, histórico de versões e procedimentos de recurso quando colaboradores contestam produtos afetados ou gravidade. Automação sem possibilidade de contestação concentraria erros à velocidade das máquinas.

O ecossistema mais amplo de vulnerabilidades fornecerá suas próprias evidências. Fornecedores de segurança podem adicionar visualizações de procedência, enriquecimento independente ou pontuação contextual. Projetos de código aberto podem adotar formatos estruturados de relato que reduzam o trabalho manual de triagem.

As empresas podem se preparar mapeando agora as dependências de dados. Documentem quais sistemas consomem registros da NVD, quais campos desencadeiam ações e onde analistas acrescentam contexto local. Tratem a ausência de enriquecimento como um estado definido, e não como um sinal de baixo risco.

A cobertura do Google News avançará rapidamente quando o NIST publicar seu próximo anúncio. O trabalho mais importante ocorre entre as manchetes, dentro de discussões sobre padrões, comentários públicos, pipelines de dados e equipes de operações de segurança.

As organizações que dependem da NVD devem ler a RFI e considerar o envio de evidências de fluxos de trabalho reais. Quais decisões automatizadas economizam tempo, onde os registros atuais falham e quais julgamentos ainda exigem revisão humana responsável? Essas respostas determinarão se o NIST construirá uma base de dados mais rápida ou um sistema de vulnerabilidades mais confiável.