論文の概要: GitHub Engagement Signals for CVE Prioritization: The GitHub Popularity Metric (GPM)
- arxiv url: http://arxiv.org/abs/2609.31004v1
- Date: Fri, 25 Sep 2026 08:50:56 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-28 18:27:51.317174
- Title: GitHub Engagement Signals for CVE Prioritization: The GitHub Popularity Metric (GPM)
- Title（参考訳）: GitHub Engagement Signals for CVE Prioritization: The GitHub Popularity Metric (GPM)
- Abstract要約: 我々は、GitHubリポジトリにおけるエクスプロイトの人気に基づいて、完全にオープンで、公に計算可能な優先順位付け指標であるGitHub Popularity Metric (GPM)を提案する。
この研究に基づくデモンストレーションは、ACM Conference on Computer and Communications Security (CCS) 2026のデモトラックに受け入れられている。
- 参考スコア（独自算出の注目度）: 1.3836910960262498
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Attackers can compromise multiple systems with a single vulnerability, while defenders need to fix all security weaknesses in their systems. This asymmetry puts defenders at a disadvantage. Security vulnerabilities are found at an alarming rate, and patching vulnerabilities is costly and time-consuming; thus, vulnerability prioritization is a must and a time-critical challenge. Many prioritization metrics, such as the CVSS, EPSS, KEV, and SSVC, are currently used, each with different pros and cons, such as openness, degree of automation, time-criticality, coverage, and need for expert input. In this work, we propose the GitHub Popularity Metric (GPM), a fully open, publicly computable prioritization metric based on the popularity of exploits in GitHub repositories. We use GitHub features such as the number of stars, forks, and related unique users to create a metric that indicates the popularity of CVEs across different time frames, both relative to the current time and historically. We compare the proposed metric with various existing vulnerability prioritization metrics and known exploited vulnerabilities and demonstrate that it provides tangible insights for defenders, identifying unique CVEs and inconsistencies in existing methods. The GPM was integrated into the EPSS version 5. \noindent\textbf{Note.} A demonstration based on this work has been accepted to the demo track of the ACM Conference on Computer and Communications Security (CCS) 2026.
- Abstract（参考訳）: 攻撃者は単一の脆弱性で複数のシステムに侵入するが、防御者はシステム内のすべてのセキュリティの弱点を修正する必要がある。
この非対称性は、ディフェンダーを不利にする。
セキュリティの脆弱性は警告速度で発見され、脆弱性のパッチはコストと時間を要するため、脆弱性の優先順位付けは必須であり、時間的に重要な課題である。
CVSS、EPSS、KEV、SSVCといった多くの優先順位付け指標が現在使用されている。
本研究では,GitHubリポジトリにおけるエクスプロイトの人気に基づいて,完全にオープンで計算可能な優先順位付け指標であるGitHub Popularity Metric (GPM)を提案する。
私たちは、スター数、フォーク数、関連するユニークなユーザ数などのGitHub機能を使用して、現在の時間と歴史的に異なる時間フレームでCVEの人気を示すメトリクスを作成しています。
提案した指標を,既存の脆弱性優先順位測定と悪用された既知の脆弱性と比較し,防衛者に対して具体的な洞察を提供し,既存の方法におけるユニークなCVEと矛盾を識別することを示した。
GPMはEPSSバージョン5に統合された。
略称は「textbf{ Note」。
} ACM Conference on Computer and Communications Security (CCS) 2026のデモトラックには,この研究に基づくデモンストレーションが受理されている。
関連論文リスト
- VEX-Bench: Benchmarking LLM Agents for Assessing Exploitability of Software Supply Chain Vulnerabilities [8.261542578922597]
ソフトウェアサプライチェーン脆弱性の悪用性を評価できるLSMエージェントの能力を評価するための最初のベンチマークを紹介する。
VEX-Benchには、GitHubから発掘され、セキュリティの専門家によってラベル付けされた75の現実世界のケースが含まれており、Python、Java、Goをカバーしている。
GPT-5.5とClaude Opus 4.6はバイナリ脆弱性統計分類で約80%のF1に達したが、きめ細かい正当性分類で70%のマクロF1を超えたのはGPT-5.5のみである。
論文 参考訳（メタデータ） (2026-09-07T22:52:09Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - SEVRA-BENCH: Social Engineering of Vulnerabilities in Review Agents [21.409263140916327]
大規模言語モデル (LLM) レビュアーはプルリクエスト (PR) においてますます使われている。
これにより、静的な脆弱性検出やコード生成のベンチマークが対処しないという疑問が持ち上がる。
自動レビュアーがそのようなプルリクエストを承認する頻度を測定するベンチマークであるSEVRA-BENCHを紹介する。
論文 参考訳（メタデータ） (2026-06-11T16:35:56Z) - GCVE: A Decentralized Model for Vulnerability Identification, Publication, and Operational Enrichment [51.77969450792284]
Global CVEイニシアチブ(Global CVE Initiative, G)は、脆弱性の識別、パブリッシュ、エンリッチメントのための分散化、オープン化、識別子モデルを提案する。
本稿では,自律型G番号認証,ライトウェイトアロケーションルール,分散パブリッシュ,オープン・ベスト・カレントプラクティス,実用的なリファレンス実装を組み合わせた社会技術的取り組みとしてGを提案する。
論文 参考訳（メタデータ） (2026-05-30T19:03:39Z) - Bag of Tricks for Subverting Reasoning-based Safety Guardrails [62.139297207938036]
推論に基づくガードレールを覆い隠すジェイルブレイク手法の袋を提示する。
攻撃対象は白、グレー、ブラックボックスの設定で、無駄なテンプレート操作から完全に自動化された最適化までさまざまです。
論文 参考訳（メタデータ） (2025-10-13T16:16:44Z) - What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。
LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
論文 参考訳（メタデータ） (2025-09-26T18:06:36Z) - OS-Harm: A Benchmark for Measuring Safety of Computer Use Agents [60.78202583483591]
コンピュータ使用エージェントの安全性を計測する新しいベンチマークであるOS-Harmを紹介する。
OS-HarmはOSWorld環境上に構築されており、故意のユーザ誤用、インジェクション攻撃、モデル誤動作の3つのカテゴリでモデルをテストすることを目指している。
我々は、フロンティアモデルに基づいてコンピュータ利用エージェントを評価し、その安全性に関する洞察を提供する。
論文 参考訳（メタデータ） (2025-06-17T17:59:31Z) - Eradicating the Unseen: Detecting, Exploiting, and Remediating a Path Traversal Vulnerability across GitHub [1.2124551005857036]
オープンソースソフトウェアの脆弱性は、現代のデジタルエコシステムにカスケード効果をもたらす可能性がある。
1,756の脆弱性のあるオープンソースプロジェクトを特定しました。
当社は、この脆弱性をメンテナに責任を持って開示し、報告された脆弱性の14%が再報告されている。
論文 参考訳（メタデータ） (2025-05-26T16:29:21Z) - Detecting Security Patches via Behavioral Data in Code Repositories [11.052678122289871]
Gitリポジトリ内の開発者動作のみを使用して,セキュリティパッチを自動的に識別するシステムを示す。
秘密のセキュリティパッチを88.3%、F1スコア89.8%で公開できることを示しました。
論文 参考訳（メタデータ） (2023-02-04T06:43:07Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。