La fiducia nel NVD rischia di spostarsi su un sistema che nessuno ha ancora potuto verificare. NIST sta chiedendo come modernizzare l'arricchimento delle vulnerabilità proprio mentre riduce il lavoro manuale ordinario e ammette di avere in sviluppo V-etalon, uno strumento AI di cui non ha ancora mostrato né il funzionamento né i criteri di qualità.
Il punto non è l'RFI in sé. Il punto è che l'ente parla di automazione, trasparenza e utilità, ma non pubblica codice, benchmark, architettura, risultati di valutazione o un modello operativo chiaro. Restano quindi opachi i campi che l'AI dovrebbe riempire, dal punteggio CVSS alla mappatura CWE e all'applicabilità delle vulnerabilità, e non si capisce come l'output verrebbe controllato prima di entrare nel flusso NVD.
Per chi costruisce workflow su questi dati, la questione è la qualità della sorgente a monte: un feed meno trasparente può essere più difficile da verificare anche quando continua a sembrare autorevole. Finché V-etalon non sarà reso pubblico e validato, il NVD resta una base utile ma più difficile da trattare come fonte incontrovertibile.