A corrida da IA contra o tempo
Mais vulnerabilidades, descobertas mais rapidamente, exploradas mais cedo.
Explosão global de vulnerabilidades CVE
72,812
Os CVEs publicados em 2026 até setembro já representam 51% a mais do que em todo o ano de 2025
Reduzindo o tempo até a exploração
−7 dias
Tempo médio até a exploração em 2025: atualmente, os ataques começam, em média, antes do lançamento de uma correção
O que a CRA espera
Os fabricantes devem notificar a ENISA e seu CSIRT nacional em três etapas, a partir de apenas 24 horas após tomarem conhecimento de uma vulnerabilidade explorada.
24 horas
Alerta Precoce
Primeiro alerta, com a causa suspeita e os países afetados
72 horas
Notificação
Detalhes sobre a vulnerabilidade, os produtos afetados e as medidas de mitigação adotadas
14d
Relatório Final
No prazo de 14 dias após a disponibilização de uma correção, indicando a gravidade, o impacto e a medida corretiva
Pronto para se apresentar em 24 horas?
Para cumprir cada prazo, você precisa de respostas rápidas:
- Essas são vulnerabilidades reais, e não apenas pontos fracos em potencial?
- Elas estão disponíveis e podem ser aproveitadas no seu produto?
- Existe uma correção comprovada disponível, ou é possível gerar uma rapidamente?
A lacuna na gestão de vulnerabilidades da CRA
A CRA atribui a você a responsabilidade por todas as vulnerabilidades do seu produto, sejam elas no seu próprio código, em um componente de terceiros ou em uma biblioteca de código aberto. As obrigações estão previstas em lei, enquanto a carga de trabalho associada a elas não para de crescer.
Mais código, lançamentos mais rápidos
O desenvolvimento impulsionado por IA significa mais código, mais dependências e ciclos de lançamento mais curtos. Cada lançamento traz novos componentes próprios, de terceiros e de código aberto, além de novas possibilidades de falhas.
Difícil definir prioridades
Sem evidências de vulnerabilidade explorável, as pontuações de gravidade, por si só, determinam a prioridade da fila. As equipes dedicam esforços a questões irrelevantes, enquanto o risco real fica à espera.
Ausência de comprovação de risco
Os scanners identificam milhares de resultados, mas raramente indicam se uma vulnerabilidade é acessível, explorável e relevante para o seu produto.
Registro de auditoria reduzido
O código interno e os componentes externos costumam ser gerenciados em fluxos de trabalho separados, com decisões dispersas entre tickets, chats e planilhas. Reunir evidências rastreáveis e prontas para auditoria em 24 ou 72 horas é quase impossível.
Correção de vulnerabilidades com tecnologia de IA, integrada ao seu ciclo de desenvolvimento
O Keysight AI Analysis for CRA é um serviço de análise de código baseado em IA com gerenciamento de vulnerabilidades que automatiza todo o ciclo de vida das vulnerabilidades. Com base na expertise da Keysight em segurança, nossa estrutura proprietária impulsionada por IA identifica vulnerabilidades, testa se elas podem ser exploradas, sugere e valida correções e documenta cada etapa.
Principais recursos
Triagem Inteligente
Classifica as vulnerabilidades (CVEs) e os resultados do SAST com base no SBOM, filtra os falsos positivos e prioriza os riscos exploráveis.
Correções verificadas
Compila, testa e valida cada correção em um ambiente isolado para confirmar se a vulnerabilidade foi resolvida.
Análise de acessibilidade
Mostra quais vulnerabilidades podem realmente ser acessadas e exploradas a partir de pontos de entrada reais do ambiente de produção.
Evidências da CRA
Cria registros rastreáveis e prontos para auditoria para o tratamento de vulnerabilidades, divulgação coordenada, notificação de incidentes e avaliação de conformidade.
- Integração
- Avaliação inicial
- Análise e validação por IA
- Análise dos resultados
- Retrospectiva
Integração
Você compartilha o acesso ao seu repositório de código-fonte e aos detalhes do ambiente. Como analisamos o código-fonte, e não os binários, cada resultado aponta para a linha exata, e as correções são fornecidas na forma de patches prontos para fusão.
Avaliação inicial
A Keysight avalia os pré-requisitos e resolve os obstáculos em conjunto com você antes da análise completa.
Análise e validação por IA
Nossa estrutura coleta dados de SCA e executa um SAST baseado em IA; em seguida, inicia um ambiente de teste para verificar a acessibilidade e a vulnerabilidade, bem como para validar cada correção.
Análise dos resultados
Sua equipe e a Keysight analisam em conjunto as conclusões, os resultados das correções e as recomendações de correção.
Retrospectiva
Identificamos lacunas na cobertura e coletamos feedback para melhorias futuras.
Todas as opções abrangem código próprio, de terceiros e de código aberto em um único fluxo de trabalho unificado de IA, com integração ao pipeline de CI/CD prevista para breve.
Seu IP continua sendo seu
Seu código-fonte é seu ativo mais valioso. Nós o tratamos dessa forma.
- Hospedar projetos em servidores de IA offline, sem que os dados sejam enviados para a nuvem
- Escolha modelos de IA que atendam às normas de conformidade regionais
- Opção de execução em provedores de serviços de IA na nuvem
- Não há treinamento sobre dados de clientes
Perguntas frequentes
A notificação de vulnerabilidades ativamente exploradas e de incidentes graves entra em vigor a partir de 11 de setembro de 2026. Os demais requisitos, incluindo o tratamento de vulnerabilidades e as SBOMs, entram em vigor a partir de 11 de dezembro de 2027.
Não. A IA sugere correções e as verifica em um ambiente de teste. As correções críticas sempre passam por uma revisão humana antes de chegarem à sua base de código.
Não. Os projetos podem ser executados em servidores de IA offline, e seus dados nunca são usados para treinar modelos.
Você já sabe quais vulnerabilidades são acessíveis e podem ser exploradas em seu produto, e cada descoberta possui um registro rastreável. Quando surge uma nova vulnerabilidade explorada, você pode avaliar rapidamente o impacto e elaborar um relatório com evidências.
As conclusões são incorporadas ao seu fluxo de trabalho atual, por exemplo, como tickets do Jira priorizados ou itens de sprint.
Com uma prova de conceito em um de seus próprios produtos. Ela segue as cinco etapas acima e termina com uma retrospectiva dos resultados.