IST fordert von NIST: Verantwortung für die Qualität von CVE-Einträgen soll bei Softwareherstellern liegen

Antwort auf die Informationsanfrage des NIST vom August

Im August veröffentlichte das National Institute of Standards and Technology (NIST) eine Informationsanfrage (Request for Information) zur Modernisierung der National Vulnerability Database im Zeitalter der Künstlichen Intelligenz. Das IST veröffentlichte seine Antwort am 19. Oktober 2026. Autoren sind Nick Leiserson, Bob Lord und Lauren Zabierek, die auf ihre früheren Empfehlungen an politische Entscheidungsträger zurückgreifen.

Nach Ansicht der Autoren überholen KI-gestützte Bedrohungen die klassischen Strategien des Schwachstellenmanagements. Ihr Vorschlag sieht vor, sich von dem abzuwenden, was sie als nicht tragfähige, staatlich subventionierte Bereinigung von CVE-Einträgen bezeichnen. Stattdessen sollen Softwarehersteller Anreize erhalten, vollständige, korrekte und zeitnahe Einträge einzureichen. Die „Anreicherung“ (Enrichment) soll dann echten Mehrwert schaffen, statt lediglich zentrale Datenfelder aufzufüllen.

Nicht die Kapazität ist das Problem, sondern die Verantwortung

In der Antwort heißt es, das Ökosystem der Common Vulnerabilities and Exposures (CVE) sei der Rolle der Anreicherung durch Dritte entwachsen, für die die National Vulnerability Database (NVD) einst geschaffen wurde. Aus Sicht der Autoren liegt das zentrale Problem nicht in der Verarbeitungskapazität, und KI-gestützte Automatisierung werde es nicht lösen. Das Problem sei, dass es dort, wo die Einträge entstehen, keine Verantwortung für ihre Qualität gebe.

Die Autoren verweisen auf eine Auswertung der Cybersecurity and Infrastructure Security Agency (CISA) für die Haushaltsjahre 2024 und 2025. Demnach entfielen rund 40 Prozent der Einträge im Known Exploited Vulnerabilities Catalog auf Schwachstellenarten, die die Branche seit Jahren kennt, und 31 Prozent der Sicherheitsvorfälle beginnen mittlerweile mit der Ausnutzung von Schwachstellen. Diese Mängel bestünden fort, weil Softwarehersteller für ihre Auslieferung keine nennenswerte Haftung tragen, so die Autoren.

Dieselbe Lücke betreffe die Einträge. CVE Numbering Authorities (CNAs), inzwischen mehr als 550 und darunter die meisten großen Hersteller, müssen keine vollständigen, korrekten und zeitnahen Einträge veröffentlichen und haben keine Konsequenzen zu befürchten, wenn sie es nicht tun. Die Anreicherung durch die NVD repariere Einträge im Nachhinein, argumentieren die Autoren. Das kaschiere das Versagen und schwäche den Anreiz, es an der Quelle zu beheben. Durch die KI-beschleunigte Suche nach Schwachstellen steige das Volumen der Einträge, und das Reparaturmodell werde noch weniger tragfähig.

Vier vorgeschlagene Änderungen

Die Autoren verstehen die Änderungen als Ersatz für bisherige NVD-Aktivitäten, nicht als Ergänzung.

• Anreicherung auslaufen lassen: Das NIST soll die Anreicherung auf Eintragsebene in der NVD beenden und gemeinsam mit dem Kongress das Budget dafür an die CISA übertragen.
• CAT-Standards festlegen: Das NIST soll klare Standards (vollständig, korrekt, zeitnah; „complete, accurate, timely“, kurz CAT) dafür definieren, was ein CVE-Eintrag enthalten muss, wenn eine CNA ihn anlegt. Zudem soll es ein Datenmodell mit nachvollziehbarer Herkunft der Angaben (Provenance) für Aussagen zu Schweregrad und Ausnutzbarkeit formalisieren.
• Messen und veröffentlichen: Die CISA soll für jede CNA Messungen anhand dieser Standards durchführen und die Ergebnisse veröffentlichen, damit die Qualität der Einträge für Hersteller, Betreiber und Käufer sichtbar wird. NIST und CISA sollen außerdem die Taxonomie der Common Weakness Enumeration (CWE) neu ausrichten, sodass dieselbe Messung zeigt, welche Hersteller wiederkehrende Fehlerklassen beseitigen.
• Zentrale CPE-Pflege einstellen: Das NIST soll die zentrale Pflege der Common Platform Enumeration (CPE) beenden und die Identifizierung von Produkten und Lieferanten an die CNAs der Hersteller selbst übertragen.

Ausdrücklich empfehlen die Autoren nicht, der NVD neue Fähigkeiten hinzuzufügen, weder KI-gestützte noch andere.

Erwartungen an KI-Codegenerierung

Über die NVD hinaus fordert die Antwort das NIST auf, in seinen Leitlinien zur sicheren Entwicklung Erwartungen an Secure by Design bei der KI-Codegenerierung festzulegen, vor allem in der Special Publication (SP) 800-218A. KI-Unternehmen sollten ihre Modelle vor der Veröffentlichung auf bekannte unsichere Programmiermuster testen, Fehlerquoten im generierten Code veröffentlichen und ihre Modelle nach Möglichkeit so abstimmen, dass sie bekannt gefährliche Muster verweigern, so die Autoren.

Was das bedeutet

Die Antwort ist eine politische Empfehlung an das NIST, keine Entscheidung, und die Quelle sagt nicht, wie die Behörde handeln wird. Würden die Vorschläge umgesetzt, ginge die Verantwortung für die Qualität der Einträge auf die CNAs über, zu denen die meisten großen Hersteller zählen, und Hersteller, Betreiber und Käufer erhielten veröffentlichte Daten zu dieser Qualität für jede einzelne CNA. Die Vorschläge würden zudem die Finanzierung der Anreicherung vom NIST zur CISA verlagern und Entwickler von KI-Modellen ausdrücklichen Erwartungen an die Sicherheit des von ihren Systemen erzeugten Codes unterwerfen.