# CVE: качество данных и ёмкость обработки

Проверено 27 сентября 2026 года. Два кандидата из [JSON](candidates.json) включены в русский и английский атласы v0.40. До включения точных дублей источников в базе не найдено. Исходные `CAND_` ID пакета преобразованы в `SIG_` ID событий.

Воспроизводимая миграция: `scripts/migrate_cve_quality.py`; входные хеши v0.39 закреплены в JSON. Добавлены две записи, семь связей и три URL; прежние рёбра и даты событий сохраняются. Результаты проверок находятся в `tests-results.json`.

## Подтверждено первоисточниками

- [CISA, 22 сентября 2026](https://www.cisa.gov/resources-tools/resources/cve-program-establishing-quality-era-framework): более 67 тысяч новых CVE опубликовано в течение 2026 года к 18 сентября. Важно считать дату публикации, а не префикс идентификатора. Это показатель из документа, не наш независимый пересчёт.
- [NIST, 15 апреля 2026](https://www.nist.gov/news-events/news/2026/04/nist-updates-nvd-operations-address-record-cve-growth): рост поступлений на 263% за 2020-2025 годы; в первом квартале 2026 года почти на треть больше, чем годом ранее. У CISA формулировка округлена до трети.
- NIST объявил переход к приоритетному обогащению записей: KEV, ПО федеральных органов и критическое ПО. Остальные записи остаются общедоступными, но не получают немедленного обогащения. В 2025 году обогащено почти 42 тысячи CVE, на 45% больше предыдущего годового рекорда; по заявлению ведомства, этого всё равно недостаточно.
- Четыре направления CISA: управление программой, участие сообщества, инфраструктура данных, качество записей. Возможные показатели качества не являются установленными обязательными нормативами или доказанными результатами.

## Место в рамке

Основная дуга: `ARC_AI_CYBER_RESILIENCE_ASSURANCE_STACK`. Основная дорожка: `RES_TRACK_SHARED_REPAIR`. Связь с Gold Eagle, curl, Linux и очередью Anthropic CVD тематическая: разные участки общего процесса, а не одинаковые измерения.

Нельзя без оговорки включать общий счётчик CVE в дорожку «Поток реальных находок» как число проверенных находок ИИ. Происхождение находок и качество записей здесь не пересчитаны. Для тезиса о ёмкости сопровождения важнее изменение режима NVD, чем само большое число.

Интерпретация для структурной власти: кто определяет критерии качества и очерёдность обработки, тот влияет на доступность пригодного для действий знания. Но приоритет обогащения не равен запрету доступа, а документ не подтверждает намеренную политическую дискриминацию.

## Хронология и границы

Апрельское решение NIST и сентябрьскую рамку CISA следует хранить раздельно. Дата 18 сентября относится к срезу счётчика, а не к публикации рамки. Число 96 тысяч на конец года является прогнозом CVEForecast.org, процитированным CISA, а не итогом 2026 года. Доля вклада ИИ ни в одном из этих счётчиков не установлена.

Страница CISA и все четыре страницы [официального PDF](https://www.cisa.gov/sites/default/files/2026-09/cve-program-establishing-a-quality-era-framework-508c.pdf) прочитаны; страницы со статистикой и таблицей метрик проверены визуально. Прочитана исходная публикация NIST. Агрегаторы не используются как доказательная база.