Die neue Anfrage trägt den Titel „Aufforderung zur Information zur Modernisierung der National Vulnerability Database im Zeitalter der Künstlichen Intelligenz“. NIST erklärt darin, das heutige Ökosystem des Schwachstellenmanagements entwickle sich rasant und werde von KI-gestützten Cyberwerkzeugen sowie beschleunigten Technologiezyklen geprägt. Nach Angaben der Behörde könnten böswillige Akteure KI-Systeme nutzen, um Schwachstellen in großem Maßstab zu finden und auszunutzen sowie Aktivitäten nach einer Kompromittierung zu unterstützen. Klassische Verfahren mit periodischem Scannen, statischer Priorisierung und manueller Behebung stießen dabei zunehmend an ihre Grenzen.

Konkret fragt NIST, wie KI und andere automatisierte Mechanismen die kontextbezogene Risikopriorisierung verbessern könnten und ob KI-Systeme bei der automatisierten Behebung von Schwachstellen eine Rolle spielen sollten. Die Initiative ist ein weiterer Versuch, mit dem wachsenden Rückstand bei Schwachstellenmeldungen Schritt zu halten. Verschärft wurde dieses Problem laut Quelltext durch Kürzungen bei NIST und seinen Programmen in den vergangenen 18 Monaten.

Wie groß der Druck inzwischen ist, zeigen die Zahlen: Acht Monate nach Beginn des Jahres 2026 wurden laut CVE.ICU bereits 50.340 Software-Schwachstellen gemeldet. Das entspricht einem Anstieg von mehr als 72 Prozent gegenüber 2025. Jerry Gamblin, Principal Engineer bei Cisco und Gründer von CVE.ICU, schrieb in einer im Mai veröffentlichten Analyse, auf Basis der ersten vier Monate des Jahres sei für 2026 insgesamt ein Zuwachs von 50 Prozent oder mehr wahrscheinlich.

Gamblin betont jedoch auch, dass die Masse der Meldungen nicht automatisch bedeutet, dass all diese Schwachstellen praktisch ausnutzbar sind. Nach seiner Analyse sind weniger als ein Prozent der Schwachstellen aus zwei wichtigen Meldequellen, GitHub und VulnCheck, tatsächlich ausnutzbar. Als Indikator wertete er entweder die Aufnahme in die KEV-Liste oder einen Wert im Exploit Prediction Scoring System (EPSS) von 0,1 oder höher. Seine Schlussfolgerung: Die tiefere Frage sei, ob dieser Volumenanstieg für Verteidiger überhaupt entscheidend sei; „Volumen ist keine Last“.

Genau an dieser Stelle setzt die Debatte um die NVD an. Das eigentliche Problem sei, kritische Fälle von niedrig priorisierten Schwachstellen zu trennen und diese Einordnung besser zu vermitteln. Karthik Swarnam, Chief Security and Trust Officer bei ArmorCode, sagte Dark Reading, die von der NVD kuratierten angereicherten Daten seien historisch eher beschreibend als handlungsleitend gewesen. Sie erklärten, was eine Schwachstelle sei und wie schwerwiegend sie werden könne, lieferten aber deutlich weniger Kontext dazu, ob sie aktiv ausgenutzt werde, wie wahrscheinlich eine Ausnutzung sei, ob Gegenmaßnahmen verfügbar und wirksam seien und wie viel Vertrauen Verteidiger in diese Gegenmaßnahmen setzen sollten.

Aus Swarnams Sicht sollte die Modernisierung deshalb die Anreicherung selbst ins Zentrum stellen. Zusätzlicher Kontext könne etwa Angaben dazu umfassen, ob eine Schwachstelle bereits ausgenutzt wird, wie der Stand der Behebung ist und welche weiteren Bedrohungsinformationen vorliegen.

Trotz der seit mehr als zwei Jahren anhaltenden Probleme bei der Anreicherung argumentieren nicht alle für eine Verlagerung in die Privatwirtschaft. Trey Ford, Chief Strategy and Trust Officer bei Bugcrowd, sagte Dark Reading, ein staatlich betriebenes oder zumindest staatlich geführtes Programm sei entscheidend, um das Vertrauen in die Daten zu erhalten. Der besondere Vertrauenswert der NVD liege gerade darin, dass sie staatlich betrieben werde: neutral, nicht kommerziell und ohne Anreiz eines Anbieters, Schweregrade herunter- oder heraufzustufen.

Ford hält Initiativen wie das Priorisierungsprojekt „Gold Eagle“ der US-Regierung für hilfreich. Auch der Einsatz von KI könne die Geschwindigkeit und Genauigkeit bei Bewertung und Triage verbessern, sofern die Verfahren standardisiert, reproduzierbar und offen seien. Zugleich warnt er vor einem blinden Vertrauen in Automatisierung: Wenn NIST KI nutze, um die Lücke ohne menschliche Prüfschicht zu schließen, entstünden zwar schnellere, aber weniger vertrauenswürdige Daten. Stellungnahmen zur Ausschreibung müssen laut Bundesmitteilung bis zum Ende des Tages Eastern Time am 13. Oktober 2026 eingegangen sein.