NIST-consultatie over AI in kwetsbaarhedendatabase sluit vandaag
Wie iets wil zeggen over de rol van AI in de Amerikaanse kwetsbaarhedendatabase, moet opschieten. De publieke consultatie van het National Institute of Standards and Technology (NIST) over de modernisering van de National Vulnerability Database (NVD) sluit op 13 oktober om 23.59 uur Amerikaanse oostkusttijd. In Nederland is dat woensdagochtend 14 oktober om 05.59 uur.
De NVD is de overheidsdatabase waarin bekende beveiligingslekken (CVE’s) worden aangevuld met ernstscores en informatie over getroffen software. Securityteams over de hele wereld, ook in Nederland, gebruiken die gegevens om te bepalen welke patch eerst moet. NIST publiceerde het verzoek om input op 12 augustus in het Federal Register, onder dossiernummer NIST-2026-0100.
Een database die het tempo niet bijhoudt
De aanleiding is een volumeprobleem. Volgens Unite.ai steeg het aantal CVE-meldingen tussen 2020 en 2025 met 263 procent. In het eerste kwartaal van 2026 lag het aantal inzendingen nog eens ongeveer een derde hoger dan een jaar eerder. NIST verrijkte in 2025 bijna 42.000 CVE’s, 45 procent meer dan in enig eerder jaar, en kreeg de achterstand toch niet weggewerkt.
In april trok het instituut daar al conclusies uit. Sinds 15 april krijgt niet langer elke kwetsbaarheid een volledige analyse. Volgens een research note van de Cloud Security Alliance stapte NIST over op een risicogebaseerd model. Alleen lekken uit de Known Exploited Vulnerabilities-catalogus van CISA, lekken in software die de federale overheid gebruikt en zogeheten kritieke software krijgen nog volledige verrijking. Dat is naar schatting 15 tot 20 procent van het jaarlijkse volume. Zo’n 29.000 oudere meldingen kregen het label “Not Scheduled”.
Waar mag AI wel en niet beslissen
De consultatie gaat over meer dan capaciteit. In de tekst in het Federal Register vraagt NIST input op zeven terreinen, van knelpunten in het proces en automatisering met AI tot risicoprioritering, datastandaarden en automatisch gegenereerde herstelcode. De vraag die steeds terugkomt: op welke plekken in de keten is AI te vertrouwen, en waar moet een menselijke analist blijven meekijken?
Die vraag is actueel. AI-modellen vinden inmiddels zelf grote aantallen lekken, wat de stroom meldingen verder opdrijft. Google zette eerder deze maand zijn open-source bugbounty stil omdat het programma werd overspoeld met AI-meldingen. Anthropic laat Claude gratis open-source code doorlichten. Meer gevonden bugs betekent ook meer werk voor wie ze moet beoordelen en catalogiseren.
Opvallend is dat NIST ook vraagt naar AI-gegenereerde reparaties. Automatisch voorgestelde patches kunnen beheerders veel tijd schelen. Een foute fix in een veelgebruikte bibliotheek kan daarentegen op grote schaal schade aanrichten. NIST wil daarom weten welke waarborgen de sector nodig vindt voordat zulke code in de praktijk belandt.
Wat betekent dit
Voor Nederlandse organisaties is de NVD een stille afhankelijkheid. Veel scanners en patchtools halen hun ernstscores en productinformatie rechtstreeks uit deze database. Sinds april ontbreekt die verrijking voor een groot deel van de nieuwe CVE’s. Wie daar blind op vertrouwt, mist dus context. Het loont om na te gaan welke bronnen de eigen tooling gebruikt en of die ook de CISA-catalogus en adviezen van leveranciers meeneemt.
De uitkomst van de consultatie bepaalt hoe ver NIST gaat met AI in zijn eigen werkproces. Alle reacties worden openbaar op regulations.gov. De druk op de database neemt voorlopig alleen toe: Microsoft waarschuwde onlangs dat aanvallers voorlopen met AI, en malware als PoeLLM richt zich inmiddels op AI-servers.
