Compute-Budgeted Exploitability Evidence Graphs for Prospective Vulnerability Triage

Sintesi Tecnica: Grafi di Evidenza dell'Exploitability con Budget di Calcolo per il Triage Prospettico delle Vulnerabilità

Problematica
I difensori affrontano un vincolo critico di risorse: il volume di nuove vulnerabilità divulgate (CVE) supera di gran lunga la capacità di rimedio tempestivo. Sebbene i punteggi di severità come il CVSS comunichino l'impatto tecnico, essi correlano debolmente con l'effettiva sfruttabilità nel mondo reale, portando a una priorizzazione inefficiente delle patch. I metodi esistenti di previsione basati sui dati, come l'Exploit Prediction Scoring System (EPSS), mirano a prevedere lo sfruttamento nel breve termine ma soffrono spesso di un difetto fondamentale di valutazione: il leakage temporale (perdita di dati temporali).

Gli studi sulla previsione degli exploit standard spesso alimentano i modelli con evidenze pubbliche (avvisi, codice proof-of-concept, discorsi di hacker) che diventano disponibili dopo che una vulnerabilità è già stata sfruttata. Questo "inietta il futuro" nei dati di addestramento o di valutazione, gonfiando artificialmente le metriche di performance del modello. Il documento sostiene che, senza un protocollo temporale rigoroso, la valutazione misura l'intuizione a posteriori piuttosto che la lungimiranza, rendendo i risultati riportati fuorvianti per il triage prospettico.

Metodologia
Gli autori propongono un protocollo di triage prospettico a prova di leakage che tratta la prioritizzazione delle vulnerabilità come un problema di selezione vincolato sotto un budget di calcolo fisso.

1. Grafo di Evidenza Temporale: L'evidenza pubblica è organizzata come un grafo temporale che collega i CVE a documenti eterogenei e datati (avvisi NVD, archivi di exploit, commit di correzione e discorsi della comunità hacker).
2. Tempo Decisionale e Ammissibilità: Per ogni CVE, un tempo decisionale $\tau(v)$ è fissato (tempo di pubblicazione + finestra di osservazione $\Delta$). Il protocollo ammette rigorosamente solo documenti di evidenza con timestamp $ts(e) \leq \tau(v)$. Ciò garantisce che il modello non possa accedere a segnali generati dall'evento di sfruttamento stesso.
3. Selezione a Budget: Invece di elaborare tutto il testo disponibile, il sistema seleziona un numero limitato di documenti di evidenza ($B$) per ogni CVE.
   • Un bi-encoder (stile E5) genera embedding per le descrizioni dei CVE e per i documenti di evidenza.
   • Un vincolo di matroide laminare governa la selezione: un budget globale $B$ limita il numero totale di documenti, mentre i limiti per livello $\kappa$ assicurano la diversità tra i tipi di sorgente (ad esempio, impedendo che un certificato sia dominato da un singolo canale come il testo NVD).
   • La selezione viene eseguita in modo greedy in base ai punteggi di similarità, il che è dimostrato essere ottimale per questo obiettivo modulare.
4. Punteggio di Rischio e Certificazione: Un modello logistico calibrato aggrega le caratteristiche (severità, priori condizionati da CWE e statistiche dell'evidenza selezionata) per produrre un punteggio di rischio. Fondamentalmente, ogni punteggio è accoppiato a un certificato di evidenza verificabile che elenca esplicitamente i segnali di supporto, i loro timestamp e le sorgenti dei livelli, consentendo ai difensori di contestare la classificazione.
5. Ablazione dei Reranker: Lo studio valuta un forte reranker cross-encoder ma scopre che è controproducente. Sebbene migliori la rilevanza semantica, tende a far emergere ristatizzazioni dell'avviso rispetto alla descrizione del CVE piuttosto che segnali di sfruttamento distinti, riducendo così il recall prospettico.

Risultati Chiave
Valutato su 12.012 CVE prospettici contro 457 positivi noti sfruttati (CISA KEV) e target EPSS-high:

• Penalità di Leakage: Una valutazione ingenua utilizzando split casuali ed evidenze non filtrate gonfia il recall@50 prospettico di 8,5× (0,044 vs 0,005) e il recall di EPSS-high di 5,0×. Ciò dimostra che i protocolli di valutazione standard nascondono un massiccio leakage temporale.
• Efficienza del Budget: La selezione a budget proposta aumenta il recall@50 prospettico a prova di leakage rispetto al baseline di sola severità da 0,010 a 0,026 (un guadagno relativo del 150%).
• Rendimenti Decrescenti: Il valore dell'evidenza aggiuntiva satura rapidamente. Un budget di soli 2 documenti di evidenza per CVE cattura quasi tutto il valore disponibile fino a un budget di 64, indicando che il triage è "economico" e si basa su pochi documenti ad alto segnale piuttosto che su una scansione profonda.
• Impatto del Reranker: L'aggiunta di un reranker cross-encoder ha diminuito il recall prospettico a 0,016, confermando che la rilevanza semantica rispetto alla descrizione di un CVE non è un proxy per l'evidenza di sfruttamento.
• Economia di Calcolo: Il percorso di selezione tramite bi-encoder elabora i CVE in circa 0,0068 secondi, recuperando approssimativamente 1.197 positivi in cima alla classifica per ora di GPU (normalizzato).

Significatività e Contributi
Il contributo primario del documento è metodologico piuttosto che puramente architettonico. Stabilisce che il protocollo di valutazione è il fattore dominante nella previsione dell'exploitability, non il modello di ranking stesso.

1. Protocollo a prova di Leakage: Gli autori forniscono una costruzione che elimina il leakage temporale per design, quantificando la "penalità di leakage" che i protocolli ingenui subiscono silenziosamente.
2. Certificati Verificabili: Attaccando certificati di evidenza ai punteggi di rischio, il lavoro trasforma una previsione scalare in una rivendicazione di sicurezza contestabile. Ciò consente ai difensori di verificare che un punteggio sia guidato da segnali corroboranti attraverso livelli indipendenti (ad esempio, avvisi ufficiali + discorsi della comunità) piuttosto che da un singolo canale manipolato.
3. Triage Cost-Effective: Lo studio dimostra che un triage ad alto valore non richiede enormi budget di calcolo o complessi reranking; un piccolo e diversificato set di evidenze pre-decisione è sufficiente per superare significativamente i baseline basati sulla severità.

Gli autori concludono che il lavoro futuro dovrebbe concentrarsi sull'autenticazione dell'evidenza contro il seeding avversariale e sul raffinamento della finestra di osservazione $\Delta$ rispetto alle scadenze operative di patching, piuttosto che sul semplice aumento della complessità del modello.