💻 computer science

Modeling Sparse and Bursty Vulnerability Sightings: Forecasting Under Data Constraints

该论文探讨了在数据稀疏且呈突发性的情况下，利用 VLAI 模型生成的严重性评分结合 SARIMAX 和泊松回归等方法对漏洞目击事件进行短期预测的可行性与局限性，并提出了更稳定实用的预测方案。

原作者： Cedric Bonhomme, Alexandre Dulaunoy

发布于 2026-04-20

📖 1 分钟阅读☕ 轻松阅读

原作者： Cedric Bonhomme, Alexandre Dulaunoy

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文就像是在讲述一群网络安全侦探（来自卢森堡的 CIRCL 团队）试图解决一个非常棘手的谜题：如何预测未来几天内，某个特定的电脑漏洞会引发多少“骚动”？

这里的“骚动”，指的是人们发现、讨论、或者尝试利用这个漏洞的“目击报告”（比如有人发布了攻击代码，或者有人在社交媒体上提到了它）。

为了让你更容易理解，我们可以把这篇论文的核心内容想象成**“预测烟花秀的余波”**。

1. 背景：为什么这很难？

想象一下，你正在观察夜空中偶尔绽放的烟花（漏洞）。

稀疏（Sparse）： 大多数时候，天空是黑的，什么都看不见（数据全是 0）。
突发（Bursty）： 突然，砰的一声，一大串烟花炸开（漏洞被曝光，大家疯狂讨论），然后很快又归于平静。

侦探们想预测：明天还会看到几朵烟花？后天呢？
这很难，因为：

数据太少了（大部分日子都是空的）。
变化太剧烈了（突然爆发，突然消失）。
他们手里只有一点点历史数据（通常只有刚曝光那几天的记录）。

2. 他们尝试了哪些方法？（就像不同的天气预报员）

方法一：SARIMAX 模型（“老派的数学气象员”）

比喻： 这位气象员擅长预测平稳的、有规律的天气，比如“明天比今天稍微热一点点”。他假设天气变化是平滑的，像一条缓缓流动的河流。
尝试： 侦探们试图用这位“老派气象员”来预测漏洞的目击数。他们还引入了一个“严重程度评分”（VLAI 模型，就像给烟花的威力打分，威力越大，可能炸得越响）。
结果： 彻底失败。
- 因为漏洞的目击数据太“跳跃”了，不像河流，更像过山车。
- 老派气象员被搞晕了，算出来的结果经常是负数（比如预测明天会有 -5 次目击，这在现实中是不可能的），或者给出的预测范围大得离谱（比如预测明天可能有 0 到 10000 次目击，这等于没说）。
- 教训： 对于这种“突然爆发又突然消失”的稀疏数据，传统的平滑预测模型不管用。

方法二：泊松回归（“数数专家”）

比喻： 这位专家不关心平滑的曲线，他只关心**“数数”**。他专门处理“整数”事件（比如：今天看到了 1 次，明天看到了 3 次）。
尝试： 既然不能预测负数，那就强制预测结果必须是 0 或正数。
结果： 稍微好点，但还不够完美。
- 它确实不会预测出负数了，而且能更好地处理“偶尔发生几次”的情况。
- 但是，如果数据太少（比如只观察了 3 天），这位专家也会抓瞎，预测结果依然不太准。

方法三：指数衰减与逻辑增长模型（“聪明的趋势观察员”）

这是论文提出的新策略，也是最实用的部分。他们不再试图用一种模型预测所有情况，而是像变色龙一样，根据情况切换策略：

场景 A：刚爆发，正在上升期（逻辑增长模型 Logistic Growth）
- 比喻： 就像点燃的鞭炮。刚点着时，噼里啪啦响个不停，声音越来越大，达到一个顶峰，然后慢慢变小。
- 用法： 如果看到漏洞刚曝光，目击数在疯狂上涨，就用这个模型。它能预测出“顶峰”大概在哪里，以及什么时候开始降温。
场景 B：已经过了高峰期，正在消退（指数衰减模型 Exponential Decay）
- 比喻： 就像刚煮好的咖啡。刚倒出来时很烫（关注度极高），然后随着时间推移，温度慢慢下降，最后变凉。
- 用法： 如果看到漏洞已经曝光了一段时间，大家的热情在减退，就用这个模型来预测它还会“冷”多久。
自适应策略（Adaptive Strategy）：
- 侦探们设计了一个“智能开关”：先看看最近几天的趋势是上升还是下降。
- 如果是上升，就切到“鞭炮模式”（逻辑模型）；如果是下降，就切到“咖啡冷却模式”（指数衰减）。
- 结果： 这种灵活的方法比死板地套用一种模型要准确得多。

3. 核心发现与“侦探建议”

这篇论文最后总结了一些给实际工作者的“生存指南”：

别太依赖复杂的数学公式： 在数据很少（比如只有 10 天记录）的时候，复杂的模型（如 SARIMAX）只会让你得到一堆垃圾数据。
简单就是美： 对于短期的预测，简单的**“指数衰减”或者“移动平均”**往往比高大上的模型更靠谱。
数据质量很重要： 如果数据里有缺失的天数，或者突然出现的重复报告，要先“清洗”一下，不然模型会算错。
不要预测负数： 如果模型告诉你明天会有"-5 次”目击，那模型肯定坏了。这时候要换用专门处理“计数”的模型（如泊松回归）。
未来展望： 他们希望未来能结合更多细节，比如区分这个目击是“有人看到了”、“有人确认了”还是“有人正在利用它”，让预测更精准。

总结

这就好比你想预测**“明天会有多少人围观某个网红”**。

如果你用预测**“每天气温变化”**的模型，你会算出明天围观人数是负数，或者预测范围从 0 到 100 亿，这没用。
正确的做法是：看他是刚出道（上升期，用逻辑模型），还是过气了（衰退期，用衰减模型）。
这篇论文就是告诉网络安全界：面对这种忽高忽低、数据稀少的“网红漏洞”，我们要学会灵活变通，用简单、符合直觉的模型来应对，而不是死磕复杂的数学公式。

论文技术总结：稀疏与突发型漏洞目击事件的建模与预测

论文标题：Modeling Sparse and Bursty Vulnerability Sightings: Forecasting Under Data Constraints（稀疏与突发型漏洞目击事件的建模：数据约束下的预测）
作者：Cédric Bonhomme, Alexandre Dulaunoy (CIRCL)
日期：2025 年 11 月 5 日

1. 研究背景与问题定义 (Problem)

在现代化的网络威胁情报中，理解和预测漏洞相关活动的演变是一个关键挑战。

核心问题：如何预测特定漏洞的“目击事件”（Sightings）数量？
- 定义：“目击事件”指反映公众关注或潜在利用的可见事件，例如概念验证（PoC）代码的出现、检测模板的发布、或在 Fediverse 等平台的讨论。
数据特征：
- 稀疏性 (Sparse)：大多数时间窗口内数据为零或极低计数。
- 突发性 (Bursty)：事件往往集中在极短时间内爆发（如漏洞披露后或 PoC 发布时），随后迅速衰减。
- 数据量不足：对于单个 CVE，通常只有 10-30 天的观测数据，难以满足传统时间序列模型对长序列数据的需求。
现有局限：传统的 CVSS 评分或 EPSS（利用预测评分系统）主要关注风险概率或静态评分，缺乏对随时间变化的可观测活动动态的预测能力。

2. 方法论 (Methodology)

研究团队利用其先前的工作 VLAI（基于 Transformer 的模型，可从文本描述直接预测漏洞严重性评分）作为外生变量，结合多种统计和概率模型进行短期预测实验。

2.1 数据预处理

聚合：按天聚合来自不同来源（如漏洞数据库、Fediverse 帖子）的目击事件总数。
特征工程：将 VLAI 生成的严重性评分作为外生协变量（Exogenous Variable），假设严重性越高，目击事件可能越多。
变换：对计数数据应用 log(x+1) 变换以稳定方差并处理零值。

2.2 模型对比与实验

研究对比了以下几种方法：

SARIMAX (季节性自回归移动平均)：
- 尝试了带季节项和不带季节项的模型。
- 引入 VLAI 严重性评分作为外生变量。
- 结果：在短序列（<30 天）和稀疏数据下表现不佳。模型容易过拟合，产生负值预测，且置信区间（CI）异常宽泛，无法捕捉突发的尖峰。
泊松回归 (Poisson Regression)：
- 针对非负整数计数数据设计。
- 能够自然保证预测值 $\ge 0$ 。
- 可处理离散性和事件驱动特性。
- 结果：比 SARIMAX 更稳定，但在数据极度稀缺或存在过度离散（Overdispersion）时仍有局限。
指数衰减模型 (Exponential Decay)：
- 公式： $y(t) = a \cdot e^{-bt} + c$
- 适用场景：适用于已过峰值、处于衰退期的漏洞。
逻辑增长模型 (Logistic Growth)：
- 公式： $y(t) = \frac{L}{1 + e^{-k(t-t_0)}}$
- 适用场景：适用于新披露或处于上升期的漏洞，捕捉“爆发 - 平台期 - 缓慢衰退”的动态。
自适应策略 (Adaptive Strategy)：
- 通过检测近期趋势（线性斜率）自动选择模型：若斜率为正（上升趋势）则使用逻辑增长模型，否则使用指数衰减模型。

3. 关键贡献 (Key Contributions)

VLAI 与时间序列的融合：首次系统性地将基于文本的严重性评分（VLAI Score）作为外生变量引入漏洞目击事件的时间序列预测中，试图建立语义严重性与活动频率之间的联系。
针对稀疏数据的模型评估：详细评估了 SARIMAX 在网络安全稀疏事件数据中的局限性，证明了传统平滑模型在此类场景下的不可靠性。
提出混合/自适应预测框架：
- 证明了泊松回归和**曲线拟合（指数/逻辑）**在短窗口数据下优于 ARIMA 类模型。
- 提出了一种基于趋势检测的自适应模型选择机制，能够根据漏洞生命周期的不同阶段（上升期 vs 衰退期）动态切换预测策略。
实证分析：通过 CVE-2025-61932, CVE-2025-59287, CVE-2022-26134 等真实案例，展示了不同模型在捕捉突发活动和衰退趋势上的表现差异。

4. 实验结果 (Results)

SARIMAX 的失败：
- 在仅有 10-15 天数据的情况下，SARIMAX 无法可靠拟合参数。
- 经常产生负值预测（对于计数数据无意义）和极度宽泛的置信区间，表明模型对数据的不确定性极高。
- 对突发尖峰（Spikes）的处理不当，往往导致后续预测呈不切实际的下降趋势。
泊松回归的优势：
- 在聚合为周数据或拥有足够样本时，提供了更稳定、可解释且非负的预测。
- 相比 ARIMA，更能反映离散事件的本质。
曲线拟合模型的有效性：
- 逻辑增长模型：成功捕捉了新漏洞披露后的快速上升和随后的平台期。
- 指数衰减模型：有效预测了已过峰值漏洞的活动衰退。
- 自适应方法：在 CVE-2025-59287 的案例中，自适应策略成功识别出趋势下降并切换至指数衰减模型，避免了逻辑模型可能产生的过度预测。
数据长度限制：所有统计模型在数据量少于 30 天时都面临挑战，ARIMA 通常需要 50-100 个观测点才能稳定，这在单漏洞短期分析中往往不可行。

5. 意义与未来展望 (Significance & Future Work)

实践意义：
- 为漏洞情报工作流（如 Vulnerability-Lookup）提供了可行的短期预测工具，帮助防御者根据实时活动优先级进行补丁管理。
- 强调了在数据稀疏场景下，简单模型（如移动平均、指数/逻辑拟合）往往优于复杂的时间序列模型。
- 提出了数据质量处理（去重、填补缺失日、处理异常值）的重要性。
未来工作方向：
- 实时更新：在生产环境中实现每日预测更新，随新数据流入动态调整。
- 细粒度分类：区分不同类型的目击事件（如“已确认”、“已利用”、"PoC 发布”），而不仅仅是总数。
- 结合 VLAI 深度应用：进一步利用 VLAI 评分建立与真实利用行为的更深层联系。
- 长期数据验证：利用 Shadowserver 等长期监测数据，进一步测试 SARIMAX 在长周期漏洞活动中的表现。

总结

该论文指出，面对稀疏且突发的漏洞目击数据，传统的 SARIMAX 模型并不适用。通过引入泊松回归和基于生命周期的曲线拟合模型（逻辑增长/指数衰减），并结合 VLAI 严重性评分，研究团队提出了一套更稳健的短期预测框架。其核心结论是：在数据受限的网络安全场景下，应根据数据特征（稀疏性、趋势方向）灵活选择简单且物理意义明确的模型，而非盲目套用复杂的时间序列算法。