WSymBert: A Weighted Neuro-Symbolic Attention Model for Interpretable CVSS Prediction

Resumen Técnico: WSymBert – Un Modelo de Atención Neuro-Simbólico Ponderado para la Predicción Interpretable de CVSS

Definición del Problema
La rápida proliferación de vulnerabilidades de software ha creado un cuello de botella crítico en las operaciones de seguridad: la evaluación manual de las métricas del Common Vulnerability Scoring System (CVSS) es lenta, depende de expertos y es difícil de escalar. En consecuencia, muchas vulnerabilidades permanecen sin calificar durante periodos prolongados, lo que dificulta la priorización efectiva de parches y la mitigación de riesgos. Si bien los enfoques automatizados que utilizan modelos basados en transformers (p. ej., BERT, SBERT) han mejorado la precisión de la predicción, a menudo funcionan como "cajas negras". Estos modelos carecen de transparencia, ya que dependen de patrones estadísticos en lugar de la lógica de dominio, y sus explicaciones (a menudo generadas mediante métodos post-hoc) pueden resaltar tokens irrelevantes o no alinearse con el razonamiento de un experto. El desafío consiste en desarrollar un sistema que no solo prediga las ocho métricas base de CVSS v3.1 (Vector de Ataque, Complejidad de Ataque, Privilegios Requeridos, Interacción del Usuario, Alcance, Confidencialidad, Integridad, Disponibilidad) con alta precisión, sino que también proporcione un razonamiento interpretable consistente con el conocimiento del dominio de la ciberseguridad.

Metodología: Arquitectura WSymBert
Los autores proponen WSymBert, un marco neuro-simbólico ponderado que integra la comprensión contextual del lenguaje con el conocimiento estructurado de los expertos. La arquitectura consta de tres componentes principales:

1. Codificación Semántica: El modelo utiliza un codificador SBERT ajustado (fine-tuned) para generar embeddings de tokens contextuales ($H$) a partir de descripciones de vulnerabilidades no estructuradas.
2. Extracción de Conocimiento Simbólico: Se utilizan árboles de decisión definidos por expertos, derivados de las directrices oficiales de CVSS y ontologías de seguridad, para construir "lexicones de expertos". Estos lexicones mapean frases descriptivas específicas (p. ej., "requiere acceso local") con valores de métricas CVSS. Además, se utiliza KeyBERT para extraer palabras clave relevantes para el modelo a partir del texto de entrada.
3. Atención Simbólica Ponderada: Esta es la innovación central. En lugar de depender únicamente de la atención aprendida, WSymBert introduce un mecanismo de ponderación simbólica.
   • Para cada token, se asigna un peso simbólico ($w_i$) basado en su presencia en la intersección del lexicón de expertos y las palabras clave extraídas por el modelo.
   • Los tokens confirmados tanto por la lógica del experto como por la semántica del modelo reciben un peso alto (10), aquellos en la diferencia simétrica reciben un peso de 1, y los demás reciben 0.
   • Para evitar el "fallo silencioso" donde la falta de coincidencias simbólicas colapsaría el vector, se añade un peso base de 1, asegurando que el modelo pueda recurrir al pooling aprendido ($\alpha_i$) cuando los indicios simbólicos están ausentes.
   • La representación final agrupada ($z_m$) para cada una de las ocho métricas se calcula fusionando los puntajes de atención aprendidos con estos pesos simbólicos.
4. Predicción de Múltiples Cabezales (Multi-Head): Ocho clasificadores lineales independientes son entrenados sobre las representaciones fusionadas para predecir los valores categóricos de cada métrica Base. El backbone de SBERT se comparte entre todos los cabezales para minimizar los costos de entrenamiento y actuar como un regularizador.

Contribuciones Clave

• Marco Neuro-Simbólico: El artículo presenta WSymBert, un modelo híbrido que predice las ocho métricas Base de CVSS v3.1 integrando explícitamente el conocimiento simbólico de los expertos en el mecanismo de atención de un modelo transformer.
• Atención Guiada: A diferencia de los métodos de explicabilidad post-hoc, el modelo incorpora guía estructurada directamente en el proceso de decisión, dirigiendo la atención hacia indicios relevantes para la seguridad definidos por reglas de expertos.
• Desempeño Robusto: El modelo es evaluado en dos conjuntos de datos de referencia (el conjunto de datos "Combine" y un conjunto de datos "NVD" curado), demostrando un rendimiento superior constante sobre bases sólidas (SBERT y DistilBERT), particularmente en métricas desbalanceadas y difíciles.
• Explicabilidad Cuantitativa: El estudio proporciona un análisis riguroso que muestra que las predicciones de WSymBert dependen más fuertemente de la evidencia específica del dominio y menos de tokens irrelevantes (stop words, números) en comparación con los modelos base.

Resultados Experimentales
El modelo fue evaluado en los conjuntos de datos Combine y NVD utilizando Exactitud (Accuracy), Precisión, Recall y F1-score.

• Exactitud: WSymBert logró una exactitud promedio del 96.2% en el conjunto de datos NVD y aproximadamente un 95% en el conjunto de datos Combine, superando a SBERT (92% y 92% respectivamente) y a DistilBERT (89% y 89% respectivamente).
• Métricas Desbalanceadas: Se observaron mejoras significativas en métricas con distribuciones de clase sesgadas, como la Complejidad de Ataque (AC) y los Privilegios Requeridos (PR). Por ejemplo, en el conjunto de datos Combine, WSymBert logró un F1-score del 97.76% para AC, comparado con el 56.10% de DistilBERT y el 83.70% de SBERT.
• Reducción de Errores: WSymBert demostró un menor Error Cuadrático Medio (MSE) y Error Absoluto Medio (MAE) al predecir la puntuación numérica final de CVSS en comparación con los modelos base.
• Análisis de Interpretabilidad: Utilizando Gradientes Integrados (IG), el estudio encontró que los 10 tokens más influyentes de WSymBert tenían una "Tasa de Ruido" (proporción de stop words, números o tokens cortos) de menos del 5%, mientras que DistilBERT superaba el 30%. Además, WSymBert exhibió menor Infidelidad y mayor Completitud en sus explicaciones, lo que indica que sus atribuciones son más fieles al proceso de razonamiento real del modelo.

Significancia y Reivindicaciones
El artículo afirma que WSymBert ofrece una solución práctica para la evaluación automatizada de la severidad de las vulnerabilidades al cerrar la brecha entre la predicción neuronal de alta precisión y la interpretabilidad alineada con el dominio. Al incrustar restricciones simbólicas directamente en la capa de atención, el modelo asegura que su razonamiento sea trazable a evidencia significativa en el texto, abordando la limitación de la "caja negra" de los transformers estándar. Los autores sostienen que este enfoque proporciona una base confiable para los analistas de seguridad, permitiéndoles justificar las decisiones de severidad con explicaciones que se alinean con la lógica de los expertos en lugar de atajos estadísticos. El trabajo demuestra que combinar el aprendizaje neuronal con la guía simbólica es un camino viable hacia una IA responsable y explicable en la ciberseguridad.

Limitaciones y Direcciones Futuras
Los autores reconocen que la dependencia de indicios simbólicos predefinidos podría introducir una potencial superficie de ataque donde los adversarios podrían manipular las descripciones de las vulnerabilidades con indicios de léxico destacados para inflar las puntuaciones. El trabajo futuro sugiere la integración de mecanismos de verificación y calibración de confianza para mitigar esto. Además, los autores proponen extender el modelo para incorporar datos estructurados externos (CWE, CPE), métricas ambientales dinámicas y grafos de conocimiento para mejorar aún más la comprensión del contexto y la aplicabilidad en tiempo real.