NIST 改革 NVD，AI 重塑漏洞管理

NIST 在改变国家漏洞数据库处理创纪录数量已披露安全缺陷的方式后登上了 Google News。该机构已不再承诺立即分析每一条通用漏洞与披露记录，即 CVE。如今，它优先处理与已被利用、联邦系统和关键软件相关的漏洞。

这一转变带来了艰难的权衡。人工智能正在加速漏洞发现，并降低代码分析的成本。然而，用于分类这些发现的公共基础设施，仍在很大程度上依赖受限的政府工作流程和专家审查。

这并非只是又一次数据库更新。NIST 正在以选择性的、基于风险的处理方式取代普遍性数据补充，同时开发更自动化的系统。这使该机构的公共使命与其现有运营模式无法承受的接收量形成了直接冲突。

这也给那些将 NVD 数据补充视为稳定产品名称、严重性数据和受影响配置层的安全团队带来压力。这些团队如今必须将 NVD 记录与厂商公告、CISA 数据、资产环境信息和独立分析相结合。

因此，这项现代化工作包含两个相互对立的目标。NIST 必须通过自动化处理更多信息，同时保留使 NVD 保持实用价值的判断能力和数据质量。

Google News 标题标志着 NVD 的永久性转变

NIST 已从分析几乎所有已发布 CVE，转向补充由国家风险标准筛选出的较小一部分记录。

该机构于 2026 年 4 月 15 日宣布了这一运营调整。其基于风险的模型会立即关注三类漏洞。

第一类是 CISA 已知被利用漏洞目录中的 CVE。NIST 的目标是在收到这些记录后的一个工作日内完成数据补充。

第二类是联邦政府广泛使用的软件。第三类是根据第 14028 号行政命令认定的关键软件。

每一条有效 CVE 仍可出现在 NVD 中。不过，这些类别之外的记录可能会被标记为“最低优先级”，且不会被安排立即补充数据。

数据补充是将基本漏洞披露转化为更具操作性数据的工作。它可以添加严重性评估、弱点分类、参考标签和产品适用性详情。

这些详情之所以重要，是因为仅凭 CVE 描述，很少能回答企业最重要的问题。安全团队需要知道易受攻击的组件是否存在于其环境中，以及攻击者能否在其中利用该漏洞。

通用平台枚举系统，即 CPE，有助于识别受影响的硬件和软件。缺失或延迟的 CPE 映射可能使自动化工具无法将公开披露与组织的资产清单进行匹配。

当 CVE 编号颁发机构已经提供严重性评分时，NIST 也不再例行生成单独的严重性评分。CNA 是获授权分配 CVE 标识符并发布初始记录的组织。

当用户请求额外分析时，该机构会重新审查个别记录。这一例外提供了一个缓冲机制，但并未恢复此前的普遍处理模式。

修改后的记录如今也会获得类似处理。NIST 不再计划在任何变更后重新分析每一条已补充的 CVE，而是聚焦于会实质影响补充数据的修改。

历史积压记录获得了更明确的界限。除非之后被重新确定优先级，2026 年 3 月 1 日之前发布且尚未处理的记录将被归入“未安排”类别。

这一决定使 Google News 的报道不再只是关于清理延迟工作的消息。NIST 已承认，旧有承诺无法在当前的提交速度下持续维持。

该机构表示，2020 年至 2025 年间，CVE 提交量增加了 263%。2026 年第一季度的提交量比 2025 年同期高出近三分之一。

据该机构称，NIST 在 2025 年补充了近 42,000 条 CVE，比此前任何一年都高出 45%。

即使是这一创纪录的产出，也未能匹配涌入的需求。提高分析师生产力无法解决不断增长的披露体系与大体依赖人工的数据补充流程之间的结构性失衡。

新模式将不完整的数据补充视为一种运营现实。随后，它将有限的审查能力集中于 NIST 认为缺失背景信息会造成最大系统性风险的领域。

这是一个重大的政策选择。某个漏洞可能对医院、工厂、公用事业单位或软件供应商十分严重，却未必符合联邦优先级标准。

NIST 承认其规则会遗漏一些高影响案例。其请求流程允许用户标记此类记录，但响应时间仍取决于可用资源。

因此，这一标题既关乎稀缺性，也关乎现代化。NIST 正在界定哪些漏洞情报会优先获得公共数据补充，以及哪些用户必须从其他渠道获取背景信息。

AI 发现漏洞的速度正快于人工审查

AI 改变了漏洞经济学，因为它能够增加发现量，却无法按比例增加可验证每项发现的专家数量。

现代 AI 系统可以检查源代码、生成测试用例、分类可疑行为，并帮助研究人员浏览陌生的代码库。基于代理的系统还可以将模型与静态分析器、模糊测试工具、调试器和问题跟踪器连接起来。

这些能力并不意味着每一项由模型生成的发现都有效。但它们确实降低了搜索更多代码路径、测试更多软件版本和生成更多候选报告的成本。

候选漏洞仍需验证。研究人员必须复现相关条件、确定安全影响、识别受影响版本，并区分真正的缺陷与预期行为。

披露环节又增加了一层工作。CNA 必须判断该问题是否符合 CVE 资格标准，与厂商协调，并发布足够的信息让防御方作出响应。

NVD 数据补充在此流程之后开始。分析师评估公开证据，并关联下游产品可使用的标准化数据。

AI 可以协助每个阶段，但也可能将瓶颈推向下游。如果验证、协调、数据补充和修复仍受限于人员可用性，更快的发现就意义有限。

同样的技术也为攻击者提供了新选择。模型可以总结补丁、识别变更函数、生成概念验证代码，并自动化漏洞利用研究的部分工作。

这些能力都无法保证可靠利用，但它们仍可降低研究新披露漏洞或比较易受攻击版本与修复版本所需的工作量。

这压缩了防御者可用的时间。等待完整 NVD 记录的安全团队，可能会在威胁研究人员或攻击者直接依据厂商提交记录开展工作时，损失宝贵的数小时。

NIST 的应对方式是优先考虑已知利用情况，而非理论严重性。CISA 的 KEV 目录记录了具有已被利用证据的漏洞及建议的修复措施。

这一重点反映了一个重要区别。通用漏洞评分系统 CVSS 描述技术严重性，而利用证据则表明已观察到的攻击者行为。

高 CVSS 评分并不能证明漏洞正在被利用。评分较低的漏洞在攻击者将其与薄弱配置或暴露系统结合时，仍可能变得紧急。

NIST 于 2026 年 6 月进行的模式扩展，进一步强化了这一基于风险的方向。NVD 开始分发由 CISA 提供的利益相关方特定漏洞分类，即 SSVC 数据。

SSVC 支持基于利用状态、自动化潜力和技术影响等因素进行决策。与单一严重性数字不同，它帮助不同利益相关方作出与环境相关的选择。

此次更新还增加了来自 CVE 记录的受影响产品信息。NIST 表示，该部署覆盖了约 95% 的现有 NVD 漏洞。

这一大规模更新展示了现代化能够带来的成果。来自合作伙伴系统的结构化数据可以抵达 NVD 用户，而无需 NIST 独立重建每一个字段。

它也带来了运营后果。NIST 警告 API 用户，记录会变得更大，数据源会暂时增长，同步需求增加，并可能出现延迟。

这正是 NVD 现代化的实际形态。它涉及共享模式、合作伙伴生成的评估、自动化接收机制，以及足够的透明度，以便下游系统解读数据来源。

AI 可以通过发现缺失字段、识别重复项和分流复杂案例来支持这一架构。不过，自动化建议需要围绕证据、置信度和审查建立控制措施。

如果模型虚构受影响版本或错误分类产品，修复工作就可能被导向错误的系统。在国家规模下，即使较低的错误率也可能产生数千条误导性记录。

因此，AI 的有用角色是有限的。它可以减少重复性工作并暴露不一致之处，同时由专家审查人员处理存在争议、影响重大或异常复杂的案例。

这种分工将决定更快的处理速度究竟会改善 NVD，还是只会更快地生成不完整信息。

NIST 的风险模型给所有 NVD 用户带来压力

直接负担正从中央数据补充服务转移到厂商、安全平台和个别资产所有者。

漏洞管理产品通常会将 NVD 数据与厂商公告、扫描器结果、漏洞利用情报和客户资产清单结合起来。选择性数据补充使这些额外输入变得更加重要。

缺少 NIST 生成的 CPE 数据的记录，可能无法与已安装产品自动匹配。缺失的独立严重性评估也可能使团队不得不依赖提交该记录的 CNA 的分析。

这种依赖并不总是问题。产品厂商通常最了解受影响版本和技术影响。

不过，激励因素和报告质量各不相同。某家厂商可能发布高质量的机器可读数据，而另一家可能提供非结构化公告或不完整的版本范围。

安全平台可以通过自行进行部分数据补充来弥补缺口。规模较大的提供商已经拥有研究团队、产品分类体系和威胁情报管道。

规模较小的组织可能会更依赖公共数据。它们可用于协调冲突名称、核查参考资料或测试漏洞是否影响已部署软件的分析师更少。

工业运营商面临的问题尤为复杂。运营技术通常会服役多年，并依赖库存数据不够完善的专用组件。

工厂无法总是像给办公笔记本电脑打补丁那样迅速更新控制器。更新可能需要厂商批准、测试、计划停机，以及确认安全功能仍能正常运行。

在这种环境下，基于风险的优先级排序很有价值，但前提是底层环境信息准确。利用证据、资产暴露情况、运营后果和补偿性控制措施都会影响最终决策。

NVD 无法了解每个组织的环境。其数据可支持决策，但无法取代本地资产知识或工程判断。

选择性补充使这一局限更加明显。组织必须将“Not Scheduled”状态视为一种处理分类，而不是漏洞无害的表述。

NIST 明确警告，较低优先级的记录仍可能对受影响系统造成重大影响。它们只是未达到优先记录所适用的同等系统性风险标准。

这种区分可能会在自动化仪表板中消失。用户可能将未补充信息理解为不存在风险，尤其是在产品显示空白的严重性或产品字段、却未说明原因时。

工具开发商应保留来源和状态信息。CNA 评分、NIST 评估、CISA 分类和供应商公告代表不同证据，不应被呈现为可以互换。

团队还需要为不完整记录制定后备流程。这些流程可包括核查供应商公告、软件物料清单、扫描器证据，以及直接验证产品版本。

软件物料清单（SBOM）列出应用程序中包含的组件。当标准化产品匹配仍不可用时，它可帮助团队识别潜在暴露。

然而，SBOM 并不能证明漏洞可被利用。列出的库可能无法访问、已被禁用、经过修改，或受到其他控制措施保护。

这正是安全计划必须将识别与优先级排序分开的原因。首先，确定受影响组件是否存在；然后评估可达性、暴露情况、利用情况和业务影响。

AI 可以帮助关联这些来源，但企业应保持证据链可见。分析师需要理解，自动化系统为何将一个漏洞排在另一个漏洞之前。

对于开发人员和安全工程师而言，这意味着文档成为防御的一部分。决策应将 CVE 与受影响资产、支持证据、责任归属和修复状态关联起来。

可搜索的工程知识库可帮助在公告、事件记录和内部系统记录之间保留这些背景信息。

重点并非用文档软件取代安全工具，而是防止重要推理散落并消失在工单、聊天线程和孤立的分析师笔记中。

随着 NVD 提供的补充信息不再那么统一，本地证据质量将成为漏洞管理质量中更重要的一环。

自动化与信任才是真正的现代化考验

NIST 必须实现足够的自动化，以应对不断增长的数量，同时不能削弱赋予其数据价值的公众信任。

美国商务部监察长办公室在 2026 年 5 月进一步突出了这一挑战。其 NVD 评估发现，NIST 尚未解决积压问题，也未能跟上提交速度。

评估指出，积压始于 2024 年 2 月，并持续增长。报告得出结论：若不进行重大变革，NIST 缺乏可持续的流程来清理积压或防止未来延误。

关于该审计的公开报道显示，截至 2025 年底，积压的未处理漏洞已超过 27,000 个。审查还对规划、对承包商的依赖、联邦工作重复以及利益相关方参与提出了担忧。

监察长办公室提出了六项建议。其共同主题并不只是多聘用分析师。NIST 需要更清晰的优先级、更高效的流程、更好的协调，以及更强的资源管理。

这一批评使现代化主张变得可衡量。将旧记录转入“Not Scheduled”会改变积压的状态，但不会为这些记录补充信息。

这项政策仍可能是合理的。如果低优先级工作形成永久队列，并妨碍分析师处理正在被积极利用的漏洞，其价值便十分有限。

不过，重新标注不能成为进展的唯一证据。NIST 必须证明优先记录能获得及时、准确的补充信息，并证明自动化提高了有效吞吐量。

跨机构协调是另一项考验。CISA 运营 KEV 目录，并通过其 Vulnrichment 工作分发额外的漏洞信息。

NIST 和 CISA 可通过共享结构化评估并明确责任来减少重复工作。6 月的 SSVC 集成提供了这一做法的早期示例。

这种关系也带来了治理问题。使用者需要知道每个数据元素由哪个机构创建、何时更新，以及如何处理分歧。

当 AI 进入工作流时，溯源变得更加重要。自动化分类应附带有关其来源、证据、置信度和审查状态的信息。

人工审查不能停留在未定义的承诺层面。NIST 需要制定标准，明确机器生成的结果何时可以自动发布、何时必须由分析师介入。

产品匹配提供了一个有用案例。自动化可以规范供应商名称并提出 CPE 映射建议，但存在歧义的产品应在发布前接受专家审查。

重复检测是另一个例子。模型可以识别相似描述，但不同 CVE 可能描述具有不同根本原因或受影响分支的相关漏洞。

严重性评分的风险更高。如果模型误解所需权限、用户交互或范围，看似合理的向量字符串仍可能是错误的。

NVD 用户已经见识过数据错误如何传播。2026 年 4 月，NIST 披露不准确的 CVSS 4.0 数值评分影响了约 4,500 条记录。

NIST 表示，这些记录占带有 4.0 版本评分的 CVE 的 19%。大多数错误数值高于正确计算的结果。

该事件并未涉及生成式 AI，但它仍说明了：当计算或处理错误被应用于大型公共数据集时，会产生何种影响。

自动化同时扩大了能力和影响范围。因此，可靠的现代化计划需要验证规则、变更历史、回滚流程和公开的性能指标。

NVD 已通过其 API 提供记录历史。现代化应扩大这种透明度，而不是将补充字段呈现为永恒不变的事实。

独立观察人士提出了混合模式。一项 NVD 改革分析建议，对复杂和高影响案例采用自动化验证与专家审查相结合的方式。

这一模式符合 NIST 的定位，但实施情况仍不确定。该机构描述了自动化系统和工作流改进措施，但尚未公布每一项技术控制或交付里程碑。

因此，现代化工作应以产出而非 AI 的存在来衡量。更快的信息补充、更少缺乏依据的映射、更清晰的溯源和可预测的 API，才能表明真正的改进。

一个处理更多记录却掩盖不确定性的系统，会削弱 NVD 的核心目标。

Google News 报道未能解决的问题

悬而未决的问题是，选择性补充能否形成可持续的公共服务，还是会扩大组织之间的情报鸿沟。

NIST 的标准优先考虑具有明显联邦或系统性关联的漏洞。这有助于降低国家层面的风险，尤其是在活跃利用需要立即行动时。

这种方法也可能忽略尚未被广泛利用的新兴风险。专用工业产品中的漏洞可能只影响少数组织，却会带来严重的安全后果。

漏洞也可能因缺乏利用证据而未被列入 KEV 目录。未出现在目录中，并不能证明利用从未发生。

攻击者不会公布完整的活动报告。供应商和事件响应人员也可能在调查某次攻击活动期间延迟披露。

安全团队必须避免将 NIST 的队列变成自己的风险排序。该机构的处理优先级与企业的运营优先级回答的是不同问题。

医院可能优先处理影响临床系统的漏洞。制造商可能优先处理威胁生产或实体安全的控制器漏洞。

这两种情况都不要求漏洞影响联邦软件。即使 NVD 记录缺乏补充信息，本地后果也可能足以证明需要立即采取行动。

相反的问题同样重要：当不完整数据触发不必要的紧急工作时，团队可能浪费稀缺资源。

供应商提供的严重性评分可能描述最糟糕的理论配置。客户实际部署的版本或控制措施可以大幅降低暴露程度。

这正是基于上下文的优先级排序具有吸引力的原因。它将注意力引向可达、已被利用且影响重大的漏洞，而不是同等对待每一个高分漏洞。

AI 供应商越来越多地声称其系统可以自动完成这种关联。这类声明应受到与其他安全自动化相同程度的审慎质疑。

模型可能遗漏私有资产、误解业务依赖关系，或依赖过时的资产清单。它们还可能为基于不完整证据得出的排名给出颇具说服力的解释。

组织应要求高影响修复措施具备可追溯的输入和人工批准。自动化补丁生成在带来安全收益的同时，也引入可用性和安全风险。

这一警告在运营环境中尤其重要。正确的安全补丁仍可能中断已验证的流程、破坏供应商支持，或改变实时性能。

现代化不能将发现、优先级排序和修复压缩为一项未经审查的行动。每个阶段都有不同的证据要求和失败成本。

Google News 报道也无法确定 NIST 将获得多少资金或人员配备。流程重设计可以提高效率，但稳定的公共基础设施仍需要持续资源。

监察长办公室的发现表明，治理与技术架构同样重要。合同规划、跨机构协议、利益相关方反馈和可衡量的服务水平都会影响可靠性。

NIST 已发布的更新提供了有用的透明度，但用户仍需要持续了解处理时间和补充覆盖率。仅凭总体产出数据无法揭示准确性或分布情况。

一个强大的仪表板应区分新接收、已优先处理、已补充、未安排和用户请求的记录，并展示这些类别的延迟情况。

质量指标应包括已更正的映射、存在争议的评分，以及在外部反馈后发生变更的记录。这些指标将揭示自动化是否提高了首次处理的准确性。

缺少这些指标，选择性补充可能造成两种漏洞生态系统。资金充足的公司可以购买额外情报，而较小团队获得的公共记录则更不完整。

这种结果并非不可避免。更好的机器可读供应商数据、共享的联邦模式和透明的自动化验证，都可以增强公共层。

NIST 的任务是在不掩盖不确定性的前提下，让这些组成部分协同运作。当每个人都能检查相同证据并理解其局限性时，NVD 最具价值。

判断 NVD 现代化是否奏效的三个信号

下一阶段应通过信息补充延迟、共享的联邦数据和可见的质量控制来评判。

第一个信号是 NIST 能否实现针对 KEV 记录的一个工作日目标。持续达成这一目标将表明，基于风险的调度能够保护最紧急的工作负载。

性能不应只看发布速度，也应包括完整性。一条更新很快、却缺少产品适用性信息的记录，仍可能让防御人员无法识别受影响的系统。

第二个信号，是 NIST、CISA、CNA 与供应商之间更深层的整合。6 月推出的 SSVC 和受影响产品部署，为共享结构化数据建立了技术路径。

未来的更新应在字段层面保留来源信息。用户应当知道，某项评分或分类来自 NIST、CISA、供应商，还是其他获授权的发布方。

明确归属可以减少重复分析，同时允许存在分歧。联邦数据管道不应迫使每个机构都独立计算同一项评估。

第三个信号，是自动化能够提升经质量调整后的处理吞吐量的证据。NIST 应披露自动化帮助处理了多少记录，以及审核人员多频繁地修正其结果。

有用的衡量指标包括中位数补充信息处理时间、映射准确率、修正率，以及需要人工升级处理的记录占比。每项指标都应附带公开定义。

请关注 NVD 的状态更新，了解架构变更、API 性能公告和新的工作流里程碑。这些运营细节将比关于 AI 的宽泛承诺更重要。

安全团队应为这样的 NVD 做好准备：它仍然至关重要，但不再提供统一的补充信息。他们应在下一次紧急披露前盘点关键资产，并记录替代证据来源。

他们还应区分“Not Scheduled”与“不相关”。这一单一的理解错误，可能将联邦工作量决策转变为企业安全盲区。

Google News 的关注很有价值，因为它揭示了一个往往被埋没在扫描器数据流中的公共基础设施问题。NIST 已明确说明其取舍。

现在，该机构必须证明，有选择性的分析能够带来更好的风险决策，而不只是缩小待排期队列。

对从业者而言，眼下的行动很直接。审查 NVD 字段在哪些环节进入你的工作流，识别这些字段缺失时会发生什么，并测试后备路径。

在没有 NIST CPE 映射的情况下，你的团队能否将供应商公告与已部署资产关联起来？能否在不等待另一项严重性评分的情况下评估利用证据？

这些答案将决定 NVD 现代化是一次可控的过渡，还是意料之外的延误来源。