🔽AIVEX: новая модель триажа для снижения рисков в цепочках поставок

Исследователь и архитектор безопасности Девашри Датта представила AIVEX — расширение для формата CycloneDX VEX, которое добавляет контекст безопасности к существующим оценкам уязвимостей. Традиционные SBOM, VEX и CVSS не учитывают, что одна и та же уязвимость может быть критичной в AI-системе, управляющей роботом, и незначительной в бэк-офисе.

AIVEX работает в паре с уровнем интерпретации безопасности (SRIL), который обогащает данные о уязвимостях четырьмя измерениями контекста: типом актива, стадией жизненного цикла AI, потенциальным физическим воздействием и вектором эксплуатации. Flexera уже внедрила SRIL в следующем релизе, Anchore также интегрирует решение.

Проблема в том, что CVSS 9.8 в дашборде аналитики может быть менее опасен, чем CVSS 5.2 в модуле сенсоров автономного робота на складе — последний способен причинить физический вред. AIVEX переводит этот контекст в машиночитаемый формат для существующих инструментов DevSecOps.

#AI #SBOM #VEX #DevSecOps #Security #SupplyChain