研究对比EPSS与CISA KEV在204个已利用CVE上的表现，CISA意外胜出

Jerzy Siwecki 2026年11月3日 研究、实验室 Rappaport 系列的第二部分。CVE 分诊流水线最依赖的信号——漏洞被利用的概率——与 CISA 目录中所有 2026 年发布并此后被列入的 CVE 逐一对照，并与该流水线自身实验室运行数周的结果对照。

范围：cve-digest v0.7.26，运行于单台家庭实验室主机，2026 年 10 月 16 日至 11 月 3 日；EPSS 历史数据来自 FIRST 的 API，CISA KEV 目录截至 2026 年 10 月 30 日。

方法：逐日读取 FIRST 的 EPSS 历史数据，覆盖 2026 年发布的每一个 CVE 以及截至 2026 年 10 月 30 日 CISA KEV 目录中的每一个 CVE，再加上来自一台家庭实验室主机的 cve-digest 判定结果（2026 年 10 月 16 日至 11 月 3 日，从实验室的 Splunk 中读取）。

第一部分以一个尚无法定论的断言收尾：在 CVE 发布当天，几乎没有任何可用于排序的信息，除非它一出现就已声势浩大，因此设计问题在于在后续运行中再次询问。十天只是一个轶事。本文是在更长时间跨度上对这一断言进行测量，而发现令人不安：整个架构所依赖的信号——漏洞被利用的概率——保持沉默。

沉默可能意味着三件事。信号是对的，今天发布的几乎没有什么会被利用。信号太早，在它所拟合的证据出现之前就被读取。或者阈值是错的，是依据一个在第一天永远不会出现的分布设定的，因此第二层级在构造上就是空的。只有最后一种是设计缺陷，而只有数据才能将三者区分开。

Rappaport——流水线的同名者——是斯坦尼斯瓦夫·莱姆《其主之声》中的科学家之一，这部小说中，一个团队从来自星空的信号中解读意义，慢慢认识到这意义告诉他们的更多是关于他们自己，而非关于信号。这个警告针对的是匆忙的读者，用自己的声音填满沉默。第一部分将这一点指向了数据源。这一部分将其指向了仪器本身。当你自己的主信号沉寂时，诚实的做法是回到排序器所基于的假设，并测量它是否成立。

四个机构产生流水线排序所依据的信号，只有第一个以发布的速度运转。CNA 分配标识符。NVD 用严重性评分和说明影响范围的标识符来丰富记录。FIRST 计算利用概率，即 EPSS。CISA 在有证据表明漏洞正被使用时将其列为已知被利用。标识符在第一天落地。其余的信号稍后到达，各自按自己的时钟运行，而读取新鲜 CVE 的流水线学到的第一件事就是记录中还有多少是空白的。

这种滞后不再是一个会清空的积压。2026 年 4 月，NVD 表示它已无法跟上新 CVE 的数量，转向基于风险的丰富化：现在它只丰富 CISA 列为已被利用的、联邦政府运行的软件、或被指定为关键的软件，其余全部标记为“未安排”。2026 年 3 月之前的积压正分批移入该桶。原因是数量。CVE 提交量在 2020 年至 2025 年间增长了 263%，NVD 去年丰富了近 42,000 条，比此前任何一年都多 45%，而 2026 年第一季度又比上一季度高出近三分之一。新增数量的一部分被归因于 AI 辅助的漏洞发现。第一部分顺带提到了这股洪流。现在它已成为记录权威机构停止对大部分目录进行评分的公开理由。

供应商已经在绕开它。Red Hat 等公司多年来一直发布自己的逐 CVE 安全数据，而不是等待 NVD，以机器可读的 CSAF VEX 形式提供自己的评级和每个产品的受影响与否状态。我知道这个缺口是真实存在的，因为我花了 Red Hat 产品安全面试的大部分时间争论它。内部候选人在大约十五分钟后浮出水面，所以剩下的时间是两个人在享受这个问题 ¯_(ツ)_/¯。缺口比面试持续得更久，而 NVD 的退缩使那些供应商已视为永久的事情正式化。

在这个语料库上，绕开是有效的。在流水线十天内排序的 3,846 条记录中，有 3 条在首次排序时没有严重性评分，最可能是因为分配标识符的 CNA 提供了评分。3,449 条没有利用评分。

从算术开始。非 KEV 评分公式将第二层级——触发分析师告警的层级——设在四十分。在 CVSS 范围顶端和完整资产权重下，达到四十需要 0.280 的利用概率。在 CVSS 为 7.0 时需要 0.364。降权项目需要更多。逐项根据其自身 CVSS 和权重计算，在一个测量日内的 878 条记录中，没有一条达到其自身层级所需的概率。该语料库中任何地方的最低门槛是 0.280。模型对任何项目返回的最高概率是 0.02，差了一个数量级。利用项最多贡献了 1.2 分，而第二层级项目需要四十分。那天的排序实际上是二元的：已知被利用或不是，严重性决定其下的顺序。

十个无人值守的日子在规模上说明了同样的事情。流水线排序了 3,846 条记录，每个 CVE 一条，其中 3,449 条的利用评分尚未发布。有评分的 397 条全部低于 0.02。根据其自身 CVSS 和权重衡量，没有一条同时携带两个信号的记录接近其第二层级门槛。其中最低的门槛是 0.282。最高分是 0.0126。没有一条记录达到前两个层级中的任何一个。

所以问题是这支持哪种解读。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）