Resumo

  • A autoridade de numeração CVE da Erlang Ecosystem Foundation tratou de aproximadamente dez casos no ano passado e espera mais de 500 neste, segundo seu presidente na RIPE 93.
  • A descoberta assistida por IA empurra candidatos para uma fila que ainda depende de reprodução, contato com mantenedores, correção e decisão de divulgação.

O detector de bugs entrou em turno extra; o mantenedor não recebeu um dia de 48 horas. Na sessão de segurança da RIPE 93, Alistair Woodman, presidente do conselho da Erlang Ecosystem Foundation, descreveu a nova escala do trabalho de sua autoridade de numeração CVE: cerca de dez casos no ano passado, mais de 500 previstos para este. O salto projetado é de cinquenta vezes. As falhas, disse ele, já estavam no código; a capacidade de encontrá-las mudou.

O escopo cadastrado pelo programa CVE cobre pacotes ativos no Hex.pm e projetos indicados de Erlang, Elixir e Gleam, salvo os que pertencem à competência de outra autoridade. Woodman estima que o ecossistema tenha mais de 20 mil pacotes. Essa amplitude dá trabalho para qualquer equipe pequena: uma ferramenta sinaliza uma hipótese em segundos, enquanto alguém precisa demonstrar o problema, localizar a pessoa responsável e preparar uma versão segura.

Na transcrição da palestra, Woodman conta que um integrante usa IA para procurar falhas e outro administra a profundidade da fila. A busca conversa com a capacidade de triagem. A fundação também testa avisar um projeto e agrupar achados para que seus mantenedores reservem tempo de correção de uma vez. Os slides originais dão ao esgotamento dos mantenedores uma página própria. É uma legenda curta para uma conta longa.

O processo publicado pela fundação descreve cada passagem: decidir se o relato merece um CVE, produzir uma prova mínima, contatar o mantenedor em privado, submeter o registro à revisão e publicar. Depois de 14 dias sem resposta, a fundação pode publicar sem a participação do projeto. Casos já públicos ou sob exploração ativa têm janela de 24 horas. A regra organiza a divulgação; o conserto continua dependendo de quem conhece o pacote.

Woodman disse que vai atrás de patrocínio para bancar a operação. A corrida para encontrar falhas já tem combustível. A oficina de reparos ainda procura quem pague a conta e proteja o tempo de quem segura a chave do repositório.