論文の概要: Evaluating the NIST Bugs Framework Against CWE as a Successor for Automated Vulnerability Classification

• arxiv url: http://arxiv.org/abs/2609.16433v1
• Date: Mon, 14 Sep 2026 23:18:46 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-16 14:56:08.260366
• Title: Evaluating the NIST Bugs Framework Against CWE as a Successor for Automated Vulnerability Classification
• Title（参考訳）: 自動脆弱性分類の後継者としてのNIST Bugs FrameworkのCWEに対する評価
• Abstract要約: Bugs Framework(BF)は脆弱性を原因、操作、結果の3倍に整理し、そのような3倍を因果連鎖にリンクする。 我々は,BFがCWE(Common Weaknession)よりも構造化され,自動化に優しいフレームワークであるという主張を評価する。 我々の調査では、可用性に関する詳細なガイダンスを含め、BFの特定のギャップが明らかになっている。
• 参考スコア（独自算出の注目度）: 8.57966523475548
• License: http://creativecommons.org/licenses/by-nc-nd/4.0/
• Abstract: Vulnerability classification based on root cause weaknesses is essential for numerous cybersecurity activities, where the Common Weakness Enumeration (CWE) serves as a public repository of such flaws. However, its overlapping entries create a non-orthogonal structure. The result is the same vulnerability being mapped to multiple weaknesses, complicating Root Cause Analysis (RCA) and triage. To address this, NIST Special Publication 800-231 introduces the Bugs Framework (BF), which organizes vulnerabilities into <cause, operation, consequence> triples and links such triples into a causal chain, so that a vulnerability carries its root cause and its sink together instead of a single terminal label. To date, however, BF has been specified but not evaluated regarding its performance against the challenges to automated classification. The evidence required for adoption has not been investigated empirically. We evaluate BF as a classification target and a complement to CWE using a systematically screened corpus of automated Common Vulnerabilities and Exposures (CVEs) linked to CWE research. We assess the reproducibility of CVE-to-BF classification through two evaluations. The first is qualitative: an anonymized inter-rater study in which 2 subject-matter experts (SMEs) independently mapped 13 CVEs onto the four BF axes. Annotators showed strong agreement on the cause and operation axes, while the attribute axis indicated fair agreement. We also tested our automated framework across two large language model (LLM) deployments under different budgets for reproducibility analysis. Despite limitations, such as evidence availability and the absence of retrievable fix commits for closed-source software, our findings support the claim that BF is a more structured and automation-friendly framework than CWE. Our exploration reveals specific gaps in BF, including under-specified guidance on attributes.
• Abstract（参考訳）: 根本原因の弱点に基づく脆弱性分類は、CWE(Common Weakness Enumeration)がこれらの欠陥の公開リポジトリとして機能する数多くのサイバーセキュリティ活動において不可欠である。 しかし、その重なり合う成分は非直交構造を生成する。 その結果、同じ脆弱性が複数の弱点にマッピングされ、ルート原因分析(RCA)とトリアージが複雑になる。 これを解決するため、NIST Special Publication 800-231では、脆弱性を< cause, operation, result>三重に整理し、それらの三重を因果連鎖にリンクするBugs Framework (BF)を導入した。 しかし、現在までBFは特定されていないが、自動分類の課題に対してその性能について評価されていない。 養子縁組に必要な証拠は実証的に調査されていない。 CWE研究にリンクしたCVE(Common Vulnerabilities and Exposures)の体系的スクリーニングコーパスを用いて,BFを分類対象とし,CWEを補完するものとして評価した。 CVE-to-BF分類の再現性を2つの評価で評価した。 1つは定性的で、4つのBF軸に13個のCVEを独立にマッピングした、匿名化されたレーダー間実験である。 アノテータは原因と操作軸について強い一致を示したが、属性軸は公正な一致を示した。 また、再現性分析のための異なる予算の下で、2つの大きな言語モデル(LLM)デプロイメントで自動フレームワークをテストしました。 クローズドソースソフトウェアに対するエビデンス・アベイラビリティや,検索可能な修正コミットの欠如といった制限にもかかわらず,我々は,BFがCWEよりも構造化され,自動化しやすいフレームワークであるという主張を支持した。 本研究は,属性の特定されていないガイダンスを含む,BFの特定のギャップを明らかにする。

関連論文リスト

• AI Slop and Hallucinations in Vulnerability Assessment: A Survey on Reasoning Failures and Trustworthy Mitigation [48.55515767840701]
  AIスロープ(AI slop)は、アーティファクト、幻覚的脆弱性、可視だが正しくないパッチ、セマンティックに再パッケージされたバグレポートである。 本稿では,実証的証拠を調査し,統一メカニズムを特定し,信頼に値するトリアージへの道筋をたどる。
  論文  参考訳（メタデータ） (2026-08-26T11:48:38Z)
• CLEAR: Causal Context-Based Agentic Reasoning for Vulnerability Detection [3.2238600872149275]
  Causal Context-based Agentic Reasoning (CLEAR)は、因果知識グラフと統合された新しいマルチエージェント脆弱性検出フレームワークである。 コレクター、クレーム、批判、裁判官を含む4つの専門エージェントは、検索された因果コンテキストを通じて脆弱性仮説を協調的に検証する。 CLEARはPair-Correct (P-C)のパフォーマンスを130.7%改善し、最先端のアプローチよりも71.56%向上した。
  論文  参考訳（メタデータ） (2026-08-04T05:03:11Z)
• Epistemic Norms for AI Safety and Alignment Research [0.989901717499058]
  2つの領域は2つの解析的に独立な軸に沿って異なると主張する。 sc ECAISAは、あらゆるAIシステムが安全であることを証明していない。
  論文  参考訳（メタデータ） (2026-07-27T10:22:46Z)
• Three Heads Are Better Than One: A Multi-perspective Reasoning Framework for Enhanced Vulnerability Detection [17.33447267029733]
  本稿では,3種類のLLMエージェントの認知シナジーを利用した多視点推論フレームワークReasonVulを提案する。 フレームワークはソースコードの独立した分析から始まり、続いてコンフリクトを解決するための構造化された議論メカニズムが続く。 我々は542のコンフリクトケースを分析し、389が正しく解決されたことを発見し、隠れた脆弱性を明らかにするフレームワークの能力を強調した。
  論文  参考訳（メタデータ） (2026-05-18T09:57:22Z)
• Mythos and the Unverified Cage: Z3-Based Pre-Deployment Verification for Frontier-Model Sandbox Infrastructure [0.0]
  一部の二次アカウントはサンドボックスネットワークコードにCWE-190算術的脆弱性を仮定している。 本稿では,C/C++ インフラストラクチャにおける CWE-190/191/195 の算術的脆弱性パターンを,Z3 SMT ベースの形式検証エンジンである COBALT について述べる。 提案する: COBALT, VERDICT, DIRECTIVE-4, SENTINEL, 事前デプロイ検証, 事前実行制約, 出力制御, 実行時の監視をMythosインシデントによって公開された障害モードにマッピングする4層封じ込めフレームワーク。
  論文  参考訳（メタデータ） (2026-04-22T12:28:23Z)
• Why Does the LLM Stop Computing: An Empirical Study of User-Reported Failures in Open-Source LLMs [50.075587392477935]
  オープンソースのDeepSeek、Llama、Qwenのエコシステムから、705の現実世界の失敗に関する大規模な実証的研究を行った。 ホワイトボックスオーケストレーションは、モデルアルゴリズムの欠陥からデプロイメントスタックのシステム的脆弱性へと、信頼性のボトルネックを移動させます。
  論文  参考訳（メタデータ） (2026-01-20T06:42:56Z)
• Retrieval is Not Enough: Enhancing RAG Reasoning through Test-Time Critique and Optimization [58.390885294401066]
  Retrieval-augmented Generation (RAG) は知識基底型大規模言語モデル(LLM)を実現するためのパラダイムとして広く採用されている。 RAGパイプラインは、モデル推論が得られた証拠と整合性を維持するのに失敗することが多く、事実上の矛盾や否定的な結論につながる。 批判駆動アライメント(CDA)に基づく新しい反復的枠組みであるAlignRAGを提案する。 AlignRAG-autoは、動的に洗練を終了し、批判的な反復回数を事前に指定する必要がなくなる自律的な変種である。
  論文  参考訳（メタデータ） (2025-04-21T04:56:47Z)
• Robustness of Unsupervised Representation Learning without Labels [92.90480374344777]
  モデルとタスクに依存しない,ラベルのない,教師なしのロバストネス尺度のファミリーを提案する。 本研究は, 線形プローブによる検証を行い, MOCOv2の場合, 対向トレーニングの結果が3倍の精度で得られたことを示す。
  論文  参考訳（メタデータ） (2022-10-08T18:03:28Z)
• ADC: Adversarial attacks against object Detection that evade Context consistency checks [55.8459119462263]
  文脈整合性チェックさえも、適切に構築された敵の例に対して脆弱であることを示す。 このような防御を覆す実例を生成するための適応型フレームワークを提案する。 我々の結果は、コンテキストを堅牢にモデル化し、一貫性をチェックする方法はまだ未解決の問題であることを示している。
  論文  参考訳（メタデータ） (2021-10-24T00:25:09Z)
• Exploring Robustness of Unsupervised Domain Adaptation in Semantic Segmentation [74.05906222376608]
  クリーンな画像とそれらの逆の例との一致を、出力空間における対照的な損失によって最大化する、逆向きの自己スーパービジョンUDA(ASSUDA)を提案する。 i) セマンティックセグメンテーションにおけるUDA手法のロバスト性は未解明のままであり, (ii) 一般的に自己スーパービジョン(回転やジグソーなど) は分類や認識などのイメージタスクに有効であるが, セグメンテーションタスクの識別的表現を学習する重要な監視信号の提供には失敗している。
  論文  参考訳（メタデータ） (2021-05-23T01:50:44Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。