AI の時代に即した NVD の在り方：NIST が有識者の意見を求め始めた

NIST Seeks Blueprint for AI-Era Overhaul of National Vulnerability Database

2026/08/14 SecurityBoulevard —AI がソフトウェア・セキュリティに大きな影響を及ぼしていることは周知の事実である。この問題への対処を目指す取り組みとして、Linux Foundation の Akrites や Chainguard の Athena などがある。しかし、National Institute of Standards and Technology (NIST) と、その National Vulnerability Database (NVD) プログラムはどうなのだろうか。この問題に対し、国家安全保障を担う NIST は何らかの対応を行うべき組織であり、その対応が始まった。そして、ようやく NIST は、NVD を AI 対応に再設計する方法について、研究者／ソフトウェア・ベンダーなどの関係者から意見を求め始めた。

“Request for Information (RFI：情報提供依頼)” において NIST が求めるアイデアは、スケーラビリティ／自動化／相互運用性／透明性／機械可読なサイバーセキュリティ・データの情報源としての NVD の、有用性を向上させるためのものである。コメントの締め切りは、2026年10月13日に設定されている。

セキュリティ・ベンダー／ソフトウェア購入者／政府機関が利用する NVD は、オープンな情報リポジトリであり、それにより多くの組織が、既知の欠陥を特定して優先順位を付けている。

最もよく知られているのは、Common Vulnerabilities and Exposures (CVE) データベースの拠点としての役割だろう。どのセキュリティ問題なら安全に無視でき、どれを即時に修正する必要があるのかを、判断するための基準として、大半の人々が利用している。

しかし、残念なことに、以前から予算削減により、NVD のセキュリティ報告の処理能力が不足している状況にある。それは、AI が発見するセキュリティ・ホールの奔流に追いつけないと、Apple のような巨大企業でさえ認めるようになる以前からの問題である。

とはいえ、現在の NIST は、セキュリティ対応能力の強化を目指している。NIST によると、同組織が目標としているのは、継続的で自動化されたコンテキスト重視の脆弱性マネージメント・エコシステムであり、それと同時に、実際の脅威とビジネス上の優先事項に応じて、ユーザー組織が対応していける仕組みも維持するという。

NIST が求めているのは、脆弱性マネージメントのライフサイクル全体に関する意見であり、欠陥の文書化から始まり、どのシステムが実質的なリスクに直面しているのかの判断、さらには修正を展開する方式の判断に至るまでのものとなる。

具体的に NIST が確認しようとしているのは、AI による自動化を利用した脆弱性の受付および分析と、有益なデータをユーザーへ提供する際のボトルネックを解消するための方式である。

その一方で NIST は、人間によるレビューを必須として残すべき領域も特定したいとしている。この最後の問いに対しては、いますぐ誰もが答えられる。すべての領域のセキュリティ・ワークフローにおいて、引き続き人間が必要である。

NIST は、脆弱性データの品質／ガバナンス／機械可読性／相互運用性も改善したいとしている。このうち最初の問題は、これまで以上に厄介である。予算が削減されたことで、何年にもわたり NVD はセキュリティ報告に追いつけていない。

さらに状況を悪化させているのは、CVE の提出件数が 2020年〜2025年の間に263％増加した ことである。さらに悪いことに、2026年 Q1 の提出件数は、2025年の同期間と比べて約 3分の1 も増加している。昨年の NIST は、約 42,000件の CVE に追加データを付与した。それまでの年間最高記録を 45％上回る件数であるが、それでも流入量には追いつかなかった。

この状況に対応するため、NIST はスタッフの再配置／追加支援の要請／コンソーシアムを基盤とする長期的な解決策の検討を進めてきた。しかし、いずれも十分ではなかった。そこで 2026年4月に、NIST は CVE 全般への広範な情報付加から、リスク・ベースのトリアージへと正式に移行した。

現在は、以下を優先している：

• CISA の Known Exploited Vulnerabilities カタログに掲載された CVE に対して、1 営業日以内に情報を付加することを目標とする。
• 連邦政府が使用するソフトウェアに影響を及ぼす脆弱性を優先する。
• Critical Software に存在する脆弱性を優先する。

NVD においては、その他の CVE も引き続き掲載されるが、Lowest Priority とマークされる場合がある。これらの CVE には、構造化された製品マッピング／弱点分類／アナリストが追加するコンテキストが欠けているが、それらは、自動的な優先順位付けでセキュリティ・ツールが一般的に必要とする情報である。

この課題に対して米国が十分に対応できていないため、欧州連合 (EU) が不足を補おうとしているのが、EU Vulnerability Database (EUVD) である。しかし、それでも十分ではない。

当然のこととして、NIST が知りたがっているのは、AI を利用することで、リスクの優先順位付けをどのように改善できるかという点である。それと同時に、修正／テスト／展開／修復状況の監視を行う AI ツールを、どのように扱うべきかについても指針を求めている。しかし残念なことに、われわれが知っているように、AI はセキュリティ・ホールの修正よりも発見の方がはるかに優れている。

少なくとも NIST は、AI を活用することで、セキュリティ問題の洪水に追いつけるのだろうか。同組織は取り組んでいるが、結局のところ、必要な資金が依然として不足している。

トランプ政権下で、NIST では 12.5％ の人員削減 (RIF) が実施され、全体的な予算も削減されている。現時点において 2026年の NIST 予算は承認されていないが、その資金は $1.157 billion から $832 million へと削減され、27.5％の減少となる見込みだ。また、RFI で提案されている変更を実施するための資金は、一切確保されていない。

要するに、AI の有無にかかわらず、われわれのセキュリティ上の要求に NVD は追いつけなくなる。数十年にわたり、良くも悪くも CVE は、誰もがセキュリティ上の意思決定に利用する標準だったが、その時代が終わりに近づいている。

National Institute of Standards and Technology (NIST) が運営する National Vulnerability Database (NVD) の AI 対応再設計に向けた動向を紹介する記事です。 その背景にあるのは、予算削減による人員不足や CVE 提出件数の急増に伴い、脆弱性情報の処理遅延が深刻化している状況です。 これにより、セキュリティツールでの優先順位付けに必要なデータの欠落や、修正対応の遅延といった問題が発生しています。ユーザーサイドでの対応策として、AI や自動化技術を活用したデータ処理の効率化／コンテキスト重視のライフサイクル管理／人間による最終検証の導入などが求められます。