AVE standardizza gli ID di vulnerabilità comportamentale per la sicurezza dell'AI agentica
AVE (Enumerazione della Vulnerabilità Agente), dal progetto Aveproject, è un registro e un server del Protocollo di Contesto del Modello che classifica le vulnerabilità comportamentali nell'AI agente. Permette ai modelli e agli strumenti di sicurezza di interrogare programmaticamente un registro condiviso utilizzando identificatori stabili come AVE-2026-NNNNN, consentendo un riferimento coerente agli exploit degli strumenti basati su prompt e agli hijack dei hook. Il progetto implementa un server MCP, mappa i record a framework consolidati e applica le valutazioni di gravità AIVSS. I ricercatori di sicurezza, gli sviluppatori di AI e i team DevSecOps ottengono un vocabolario condiviso per il tracciamento del rischio agente.
AVE stabilisce un sistema ID stabile per difetti comportamentali agentici
AVE fornisce identificatori permanenti e standardizzati per vulnerabilità comportamentali, utilizzando ID di esempio come AVE-2026-NNNNN. Questo schema stabile consente a diversi scanner e analisti di fare riferimento allo stesso problema con un nome comune, supportando l'interoperabilità tra scanner. Il registro si concentra su modelli di attacco non basati su codice unici per sistemi agentici, ad esempio exploit basati su prompt e dirottamenti di hook degli strumenti, rendendo i risultati comportamentali affrontabili attraverso gli strumenti che consumano le voci MCP.
Il punteggio dei record di AVE e la mappatura dei framework forniscono un contesto di gravità strutturato
Ogni record AVE si mappa a framework consolidati, inclusi OWASP MCP Top 10 e MITRE ATLAS, e porta un rating di gravità AIVSS. Queste mappature forniscono una tassonomia strutturata e uno strato di punteggio esplicito che aiuta i team a confrontare e dare priorità ai risultati. I collegamenti di punteggio e framework sono progettati per informare il triage operativo, non per sostituire la validazione indipendente dell'esploitabilità in un ambiente target.
Integrare AVE richiede hosting compatibile con MCP e distribuzione Node.js
AVE viene fornito come un server MCP di riferimento e richiede un ambiente Node.js per funzionare. I passaggi tipici per l'integrazione sono:
- Installare e avviare il server di riferimento Node.js su un host MCP.
- Aggiungere il server alla configurazione MCP (ad esempio, file di configurazione di Claude Desktop).
- Abilitare il tuo modello o scanner per eseguire ricerche programmatiche contro il registro tramite l'API MCP.
Questo posiziona AVE come un servizio interrogabile all'interno dei flussi di lavoro esistenti nel contesto del modello.
AVE è un registro di riferimento, non un motore di rilevamento, e si adatta a pipeline guidate da lookup
AVE opera come un registro interrogabile piuttosto che eseguire scansioni attive; altri strumenti interrogano il server per allegare identificatori e classificazioni ai comportamenti osservati. Questo design si adatta ai team che integrano un passaggio di lookup nei flussi di rilevamento, triage e reporting, consentendo a scanner e modelli disparati di pubblicare o consumare un identificatore condiviso quando segnalano rischi agentici.
AVE è più utile come riferimento curato che richiede l'adozione dell'ecosistema
AVE è un riferimento pratico per i team pronti a convalidare le voci del registro. Il progetto è pubblicato sotto la licenza Apache 2.0 e accetta contributi dalla comunità, quindi la sua utilità dipende dalla curatela attiva e dall'adozione da parte dei fornitori di scanner e dei ricercatori. Tratta i record AVE come ipotesi strutturate da convalidare operativamente piuttosto che come prova definitiva di sfruttabilità in un ambiente specifico.
