論文の概要: CAPE - Context-Aware Prioritization Engine for Vulnerability Scoring and Management

• arxiv url: http://arxiv.org/abs/2610.13071v1
• Date: Fri, 09 Oct 2026 06:30:34 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-13 04:06:29.425794
• Title: CAPE - Context-Aware Prioritization Engine for Vulnerability Scoring and Management
• Title（参考訳）: CAPE - 脆弱性検査と管理のためのコンテキスト対応優先順位付けエンジン
• Abstract要約: Context-Aware Prioritization Engine (CAPE)は脆弱性分析フレームワークで、各脆弱性レポートをデプロイメント固有のエビデンスで強化する。 CAPEは、すべてのベースラインよりも高い優先度で、確認可能なCVEを一貫して表面化している。
• 参考スコア（独自算出の注目度）: 1.491109220586182
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Vulnerability patching is critical for safeguarding an enterprise's software ecosystem from cyber attacks. However, patching requires adequate preparation for potential system downtime and for unforeseen effects of the patched software on a live system. Thus, effective risk mitigation requires prioritization strategies that explicitly account for the operational context of the affected software. While vulnerability prioritization based on Common Vulnerability Scoring System (CVSS), Exploit Prediction Scoring System (EPSS) and CISA Known Exploited Vulnerabilities (KEV) catalog, can help, their differing goals and methodologies often lead to inconsistent, context-unaware decisions resulting in mis-allocated remediation efforts. In this work, we present the Context-Aware Prioritization Engine (CAPE), a vulnerability analysis framework that enriches each vulnerability scanner report of vulnerabilities (CVEs) with deployment-specific evidence. This evidence is used to perform vulnerability reachability, centrality, and exploitability analysis, producing a ranked priority score for the effective distribution of remediation effort. We evaluate CAPE on 30 open-source agentic applications comprising 6,138 scanner-reported CVEs. Our evaluation shows that a significant majority of CVEs are not reachable and exploitable which results in significant disparities between CAPE and context-free baselines - the CVSS, EPSS, and KEV. It also shows that CAPE consistently surfaces confirmed-exploitable CVEs at higher priority than all baselines, demonstrating that context-aware analysis provides substantially more accurate remediation guidance than context-free severity scoring alone.
• Abstract（参考訳）: 脆弱性パッチは、企業のソフトウェアエコシステムをサイバー攻撃から保護するために重要である。 しかし、パッチは、潜在的なシステム停止時間と、パッチされたソフトウェアがライブシステムに予期せぬ影響に対して適切な準備が必要である。 したがって、効果的なリスク軽減には、影響を受けるソフトウェアの運用状況を明確に説明する優先順位付け戦略が必要である。 CVSS(Common Vulnerability Scoring System)、EPSS(Exploit Prediction Scoring System)、CISA Known Exploited Vulnerabilities(KEV)のカタログに基づく脆弱性優先順位付けは、その異なる目標や方法論が不整合性、文脈に依存しない決定を導き、不整合な修復作業につながることが多い。 本研究では,脆弱性スキャナの脆弱性レポート(CVE)を,デプロイ固有のエビデンスで強化する,脆弱性分析フレームワークであるContext-Aware Prioritization Engine(CAPE)を紹介する。 この証拠は、脆弱性の到達可能性、集中性、およびエクスプロイラビリティ分析の実行に使われ、修復作業の効果的な分散のための優先度の高いスコアを生み出している。 我々は6,138個のスキャナーを報告したCVEを含む30個のオープンソースエージェントアプリケーション上でCAPEを評価した。 評価の結果,CVEの大多数は,CAPEと文脈自由ベースライン – CVSS,EPSS,KEV – の間に大きな相違が生じている。 また、CAPEは、確認可能なCVEをすべてのベースラインよりも高い優先度で連続的に表面化し、文脈認識分析が文脈自由度スコアリング単独よりもはるかに正確な修正ガイダンスを提供することを示した。

関連論文リスト

• CyberFactory: Scaling Cyber Security Capabilities with Instances from the Wild [49.44069582581181]
  CyberFactoryは、CVEを含む公開脆弱性アーティファクトをワイルドから実行可能で検証可能なタスクインスタンスに変換する。 再利用可能な脆弱性分析スキルを使用して、ソースインスペクション、ドメイン前の問題解決、エビデンスベースのバリデーションを通じて教師を指導する。 CyberGymでは1時間の予算で52.4%のPass@1に達し、Qwen3.5ベースモデルを+22.8ポイント改善した。
  論文  参考訳（メタデータ） (2026-08-24T12:30:10Z)
• GCVE: A Decentralized Model for Vulnerability Identification, Publication, and Operational Enrichment [51.77969450792284]
  Global CVEイニシアチブ(Global CVE Initiative, G)は、脆弱性の識別、パブリッシュ、エンリッチメントのための分散化、オープン化、識別子モデルを提案する。 本稿では,自律型G番号認証,ライトウェイトアロケーションルール,分散パブリッシュ,オープン・ベスト・カレントプラクティス,実用的なリファレンス実装を組み合わせた社会技術的取り組みとしてGを提案する。
  論文  参考訳（メタデータ） (2026-05-30T19:03:39Z)
• CyberGym: Evaluating AI Agents' Real-World Cybersecurity Capabilities at Scale [45.97598662617568]
  我々は188のソフトウェアプロジェクトにわたる1,507の実際の脆弱性を特徴とする大規模ベンチマークであるCyberGymを紹介した。 我々はCyberGymが35のゼロデイ脆弱性と17の歴史的不完全なパッチを発見できることを示した。 これらの結果は、CyberGymは、サイバーセキュリティにおけるAIの進歩を測定するための堅牢なベンチマークであるだけでなく、直接的な現実世界のセキュリティ効果を生み出すためのプラットフォームでもあることを強調している。
  論文  参考訳（メタデータ） (2025-06-03T07:35:14Z)
• Vulnerability Management Chaining: An Integrated Framework for Efficient Cybersecurity Risk Prioritization [0.0]
  本稿では、効率的な脆弱性優先順位付けを実現するための決定木フレームワークである脆弱性管理チェーンを提案する。 まず、KEVメンバシップまたはEPSSしきい値0.088ドルを使用して脅威ベースのフィルタリングを適用し、次にCVSSスコア$geq$7.0)を用いて脆弱性重大度評価を適用し、情報的優先順位付けを可能にする。
  論文  参考訳（メタデータ） (2025-06-02T00:06:54Z)
• Beyond the Surface: An NLP-based Methodology to Automatically Estimate CVE Relevance for CAPEC Attack Patterns [42.63501759921809]
  本稿では,自然言語処理(NLP)を利用して,共通脆弱性・暴露(CAPEC)脆弱性と共通攻撃パターン・分類(CAPEC)攻撃パターンを関連付ける手法を提案する。 実験による評価は,最先端モデルと比較して優れた性能を示した。
  論文  参考訳（メタデータ） (2025-01-13T08:39:52Z)
• Efficacy of EPSS in High Severity CVEs found in KEV [0.0]
  Exploit Prediction Scoring System (EPSS)は、今後30日間で悪用される脆弱性の確率を評価するように設計されている。 本研究は、EPSSが脆弱性が積極的に侵害される前に、エクスプロイトを予測する能力を評価する。
  論文  参考訳（メタデータ） (2024-11-04T21:12:58Z)
• The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
  Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。 現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。 提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
  論文  参考訳（メタデータ） (2024-09-10T10:12:37Z)
• SecScore: Enhancing the CVSS Threat Metric Group with Empirical Evidences [0.0]
  最も広く使用されている脆弱性スコアリングシステム(CVSS)の1つは、エクスプロイトコードが出現する可能性の増大に対処していない。 本稿では,CVSS Threatメトリックグループを強化した,革新的な脆弱性重大度スコアであるSecScoreを提案する。
  論文  参考訳（メタデータ） (2024-05-14T12:25:55Z)
• Automated CVE Analysis for Threat Prioritization and Impact Prediction [4.540236408836132]
  CVE分析と脅威優先順位付けに革命をもたらす新しい予測モデルとツール(CVEDrill)を導入する。 CVEDrillは、正確な脅威軽減と優先順位付けのために、CVSSベクターを正確に推定する。 CVEを適切なCommon Weaknession(CWE)階層クラスにシームレスに分類する。
  論文  参考訳（メタデータ） (2023-09-06T14:34:03Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。