Триаж уязвимостей в AI-платформе: почему календарный SLA сломался и что ставить вместо него

CISA выпустила директиву BOD 26-04, отменяющую единые календарные сроки устранения уязвимостей из каталога KEV. Вместо плоского дедлайна предлагается определять срок по риску конкретного актива. Для AI-платформы это особенно сложно: в разных слоях — от веб-API до весов модели — «устранить» означает принципиально разные действия, поэтому одинаковый CVSS не гарантирует одинаковый приоритет. Статья разбирает восемь публичных CVE из типового AI-стека через дерево решений.