10 июня 2026 года CISA выпустила директиву BOD 26-04, которая отменяет действие предыдущих документов BOD 19-02 и BOD 22-01. Ранее эти правила устанавливали для федеральных агентств США фиксированные календарные сроки устранения уязвимостей из каталога Known Exploited Vulnerabilities (KEV).
Новая модель приоритизации опирается на оценку рисков конкретных активов. CISA учитывает четыре критерия: публичную доступность актива, наличие уязвимости в KEV, возможность автоматизации эксплуатации и технический эффект атаки. В основе системы лежит методология SSVC.
Сроки устранения теперь зависят от уровня риска. В наиболее критических случаях уязвимость должна быть исправлена в течение трёх дней с проведением первичного forensic triage. Для наименее опасных угроз допускается откладывание патча до планового обновления системы.
Применение такого подхода к AI-платформам требует учета специфики различных слоев стека. Устранение уязвимостей может варьироваться от установки обычного патча для веб-API до обновления драйверов GPU или замены компонентов инференс-движка. Одинаковый показатель CVSS больше не гарантирует единый приоритет и способ обработки.
