論文の概要: Predicting CVSS and CWE from CVE Descriptions with Fine-Tuned Small Language Models

• arxiv url: http://arxiv.org/abs/2610.24297v1
• Date: Fri, 16 Oct 2026 22:46:52 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-26 02:29:12.094338
• Title: Predicting CVSS and CWE from CVE Descriptions with Fine-Tuned Small Language Models
• Title（参考訳）: 微調整小言語モデルによるCVE記述からのCVSSとCWEの予測
• Abstract要約: 2026年まで、National Vulnerability Databaseは公表されたCommon Vulnerability and Exposures(duplicate)のほとんど全てのエントリにCommon Vulnerability Scoring System (CVSS) v3.1ベクターをラベル付けしていた。 現在、NISTは優先度の高いCVEのみを豊かにしている。 脆弱性のテキスト記述からCVSS v3.1ベクター,ベーススコア,重度レベル,共通弱さ(CWE)の8つの基本成分を予測する。
• 参考スコア（独自算出の注目度）: 0.5097809301149342
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Until April 2026, the National Vulnerability Database labeled nearly every published Common Vulnerabilities and Exposures (CVE) entry with a Common Vulnerability Scoring System (CVSS) v3.1 vector, a severity tier, and a Common Weakness Enumeration (CWE) weakness type. Now, NIST enriches only the high priority CVEs, leaving many newly published vulnerabilities unlabelled with the classifiers that security teams use for patch triage. In CVE enrichment, we predict the eight base components of CVSS v3.1 vector, base score, severity tier, and CWE from the vulnerability's textual description alone. To prevent leakage between near-duplicate descriptions, all systems are trained only on CVEs published in 2022 and 2023. Results are evaluated on all 36,325 usable 2024 CVEs in the pinned NVD snapshot. All scores are either directly predicted, or calculated from predicted vectors using the CVSS formula. A fine-tuned 3.8B-parameter model Phi-3.5-mini, trained with LoRA in 2.5 hours on a single Apple M5 Pro chip, achieves 69.9% accuracy on severity and 70.9% on CWE. It matches the official vector exactly for 48.8% of test CVEs, outperforming TF-IDF logistic regression by 2.8 to 4.7 points on all accuracy metrics based on zero-exclusion paired bootstrap intervals. When we evaluate the base model with a zero-shot prompt, it achieves 20.8% accuracy on severity in a sample of 2,000 CVEs. In this same sample, its stated scores match its own vector precisely for only 3.4% of CVEs. However, deriving scores from predicted vectors boosts the critical recall of TF-IDF logistic regression from 50.7% to 73.3% with no additional cost. And since the errors of the fine-tuned model and TF-IDF affect different CVEs, at least one system matches the correct severity tier for 75.8% of test CVEs.
• Abstract（参考訳）: 2026年4月まで、National Vulnerability Databaseは、公表されたCommon Vulnerability and Exposures (CVE)のほとんど全てのエントリに、Common Vulnerability Scoring System (CVSS) v3.1ベクター、重度層、Common Weakness Enumeration (CWE)の弱点タイプをラベル付けしていた。 現在、NISTは優先度の高いCVEのみを豊かにしており、セキュリティチームがパッチトリアージに使用する分類器に、新たに公開された多くの脆弱性に悩まされている。 CVSS v3.1ベクター,ベーススコア,重度レベル,CWEの8つの基本成分を,脆弱性のテキスト記述だけで予測する。 ほぼ重複した記述間のリークを防止するため、全てのシステムは2022年と2023年に発行されたCVEでのみ訓練される。 結果は、ピン付きNVDスナップショットの36,325個の使用可能な2024個のCVEで評価される。 全てのスコアは直接予測されるか、CVSS式を用いて予測ベクトルから計算される。 微調整された3.8BパラメータモデルであるPhi-3.5-miniは、1つのApple M5 Proチップで2.5時間でLoRAでトレーニングされ、重大度で69.9%、CWEで70.9%の精度を達成した。 テストCVEの48.8%の正確な公式ベクトルと一致し、ゼロ排他ペアのブートストラップ間隔に基づく全ての精度指標でTF-IDFロジスティック回帰を2.8から4.7ポイント上回る。 ゼロショットプロンプトでベースモデルを評価すると、2000個のCVEのサンプルにおいて、重大度で20.8%の精度が得られる。 このサンプルでは、記載されたスコアはCVEの3.4%と正確に一致している。 しかしながら、予測ベクトルからのスコアの導出は、TF-IDFロジスティック回帰の臨界リコールを50.7%から73.3%まで、追加費用なしで促進する。 また、微調整されたモデルとTF-IDFの誤差は異なるCVEに影響を与えるため、少なくとも1つのシステムは75.8%のテストCVEの正しい重度レベルと一致している。

関連論文リスト

• Reliability-Aware Checkpoint Selection for Domain Generalization [40.17114894052837]
  精度制約付き信頼性選択(AC)について検討する。 ACは、最適なソースバリデーション精度の許容範囲内にチェックポイントを保持し、ソース信頼性でランク付けする。 ACは目標データを使用しず、追加のトレーニングも重量平均化も必要としない。
  論文  参考訳（メタデータ） (2026-09-30T15:17:32Z)
• KEVGraph: Exploitation-Aware Dependency Vulnerability Remediation [0.0]
  KEVGraphは8段階のパイプラインで、KEV対応のセットカバー問題として修復を行う。 アクティブに悪用された脆弱性を排除するために、最小限の心力アップグレード計画を生成する。 Maven (1,200 repos) は AUCCKEV = 0.988、ランダム平均 0.486、PyPI (300 repos) は AUCCKEV = 1.000 となる。
  論文  参考訳（メタデータ） (2026-09-21T06:33:10Z)
• CyberForge: Verified Vulnerability Injection at Repository Level for Cybersecurity Agent Training [42.087410274052836]
  CyberForgeは、実際のC/C++プロジェクトに脆弱性を注入することで、実行可能なリポジトリレベルのセキュリティトレーニングデータを合成するフレームワークである。 結果として得られたコーパスには、80のプロジェクトにわたる検証済みの脆弱性1034と、63の弱点が含まれている。 このコーパスで収集された軌道の微調整により、SECのパッチの修理は+3.3から+14.7ポイント改善される。
  論文  参考訳（メタデータ） (2026-08-06T18:03:27Z)
• From CVE to CWE: Syscall-Based HIDS Generalisation [41.99844472131922]
  運用環境では、ディフェンダーは既知の脆弱性の新たなエクスプロイトを認識する必要がある。 我々は,CWE(Common Weaknession)クラスを共有するCVEの正常な動作に基づいて訓練された一級異常検知器が,同一クラス内の別の未知のCVEに一般化するか否かを実証的に検証した。
  論文  参考訳（メタデータ） (2026-06-21T16:34:39Z)
• Online Shift Detection and Conformal Adaptation for Deployed Safety Classifiers [0.0]
  デプロイされた安全分類器における分散シフトのオンラインモニタリングシステムを提案する。 検出後、共形吸収層は、目標誤差を回復する決定に適応する。 このシステムは平均遅延39.5800ステップで86.6%の検知を実現している。
  論文  参考訳（メタデータ） (2026-06-10T11:24:25Z)
• Fine-tuning RoBERTa for CVE-to-CWE Classification: A 125M Parameter Model Competitive with LLMs [0.0]
  我々は,AIリフィニングされたCWEラベルを用いた234,770の大規模トレーニングデータセットを構築した。 ホールドアウトテストセット(27,780のサンプル、205のCWEクラス)では、87.4%のトップ1精度を達成した。 外部のCTI-Benchベンチマーク(NeurIPS 2024)では、75.6%の精度が達成されている。
  論文  参考訳（メタデータ） (2026-03-16T07:15:57Z)
• CVE-Factory: Scaling Expert-Level Agentic Tasks for Code Security Vulnerability [50.57373283154859]
  CVE-Factoryは、脆弱性タスクを自動変換するエキスパートレベルの品質を実現するための、最初のマルチエージェントフレームワークである。 最新の現実的な脆弱性についても評価され、66.2%の成功が証明されている。 コードセキュリティにおけるエージェントタスクの大規模スケーリングとして,1000以上の実行可能なトレーニング環境を合成する。
  論文  参考訳（メタデータ） (2026-02-03T02:27:16Z)
• Fact or Facsimile? Evaluating the Factual Robustness of Modern Retrievers [34.31192184496381]
  デンスレトリバーとリランカーは、検索強化世代(RAG)パイプラインの中心である。 我々は,これらのコンポーネントがベースとする大規模言語モデル(LLM)をどの程度の事実的能力で継承するか,あるいは失うかを評価する。 全ての埋め込みモデルにおいて、クエリと正しい完了の間のコサイン類似度スコアは、間違ったものよりも著しく高い。
  論文  参考訳（メタデータ） (2025-08-28T04:13:51Z)
• ThreatZoom: CVE2CWE using Hierarchical Neural Network [4.254099382808598]
  1つ以上のCVEは、Common Weakness Exposureion (CWE)クラスにグループ化される。 何千もの重要なCVEと新しいCVEは未分類のままだが、パッチできない。 本稿では,CVEをCWEに分類する最初の自動ツールを提案する。
  論文  参考訳（メタデータ） (2020-09-24T06:04:56Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。