该论文聚焦工业物联网（IIoT）中传感器节点的安全关键性评估问题。IIoT 传感器依赖实时数据调控生产流程，一旦遭受网络攻击，可能同时损害数据可靠性与产品质量。既有研究要么仅从网络安全漏洞与攻击影响角度对节点排序，要么仅依据传感器数据对产品质量的影响评估节点关键性，缺乏将“数据关键性”与“安全脆弱性”统一量化的综合方法。为此，作者提出一种新框架，采用 Dempster–Shafer（D-S）证据理论融合两类异源证据：一是基于传感器数据对产品质量影响的数据关键性度量，二是基于 CVSS 的网络安全漏洞评分，从而输出综合的关键性排名。研究使用红葡萄酒生产数据集进行验证，表明该框架可有效对传感器节点排序。实验结果指出：分别采用 CVSS 4.0 与 CVSS 3.1 计算漏洞分数时，所得关键性排名存在显著差异，说明漏洞评估方法版本升级会实质性改变风险优先级。虽然案例来自葡萄酒制造，但框架只需少量修改即可迁移至更广泛的工业场景，为 IIoT 生产系统的安全加固与资源分配提供了可操作的风险排序思路。适合关注 OT/ICS 安全、资产关键性建模与风险评估的研究者与安全工程师阅读。

本文是一篇来自工业界的案例研究，旨在解决软件漏洞严重性评估的可扩展性与隐私问题。当前安全分析师手动分配CVSS评分的方式难以应对漏洞数量增长，且传统方法常依赖云端LLM服务，存在代码片段泄露的机密性风险。为此，作者提出利用本地可部署的开源LLM，基于漏洞相关的C/C++代码片段，通过上下文学习（in-context learning）直接预测CVSS v3.1分数。研究首先对比了专有工业数据与公开的Big-Vul数据集，发现两者的CVSS分布高度一致，从而验证了将Big-Vul作为工业数据代理来构建基于提示的测试平台的合理性。随后，作者系统变化上下文配置和模型参数，评估了CodeLlama2-7B、CodeLlama2-13B、Mistral-7B、gpt-oss和GPT4o-mini等模型，使用均方误差（MSE）和可行性指标进行衡量。实验结果表明，中等规模的开源代码模型（特别是CodeLlama2-7B）在轻量级输出约束提示的引导下，能够接近最佳云端模型的CVSS回归性能，为工业场景下的严重性分诊提供了一种实用且隐私保护的构建模块。该研究的主要贡献包括：验证了公开数据集作为工业数据代理的可行性，系统比较了多种开源模型在本地部署下的性能，以及展示了上下文学习在漏洞严重性预测中的潜力。适合软件安全工程、漏洞管理平台开发者和关注隐私保护的安全团队阅读。

该论文提出 CoSA，一种基于上下文感知的漏洞严重性评估方法，旨在利用大语言模型（LLM）从代码仓库级工件中自动推断 CVSS 基础指标。传统 CVSS 评估依赖人工分析，耗时且容易出错；现有自动化方法多局限于函数级分析，难以捕获仓库中分散且含噪声的上下文证据。CoSA 首先构建代码属性图（CPG），然后采用两阶段仓库剪枝策略：第一阶段使用轻量级静态剪枝保留结构上邻近的上下文；第二阶段由智能体式 LLM 引导剪枝，筛选出与 CVSS 指标相关的上下文并收集支持性证据。随后，LLM 将检索到的仓库上下文整合为紧凑的、按指标划分的文本摘要，并输入到一个轻量级 Transformer 预测器中进行最终指标预测。为了支持训练与评估，作者构建了一个更高质量的仓库级数据集，包含 6816 个带 CVSS 标签的实例，覆盖 90 种 CWE 类型。实验基于真实漏洞数据进行，结果显示 CoSA 在预测准确率和 Macro-F1 上分别比最佳基线提升 14.4% 和 15.3%，显著优于函数级基线和纯 LLM 基线。研究表明，显式的、面向指标的仓库上下文检索对于实现实用且可靠的自动化严重性评估至关重要。该论文适合软件工程、漏洞管理和 AI 安全领域的研究者阅读，关注自动化 CVSS 评估、LLM 应用和仓库级代码分析。

本文提出了一种名为 PECR（Predictive Exposure and Cryptographic Readiness，预测性暴露与密码就绪性）的决策支持方法，用于软件定义广域网（SD-WAN）环境中的漏洞优先级排序。传统 CVSS 等严重性评分机制仅关注漏洞本身，而未考虑资产的实际暴露程度、威胁情报或证据质量，导致修复队列无法真实反映当前风险。PECR 将九个归一化因子（包括严重性、威胁、可达性和后果）综合为一个评分模型，并单独报告置信区间和分数区间；同时，密码相关依赖项被放入独立的迁移队列，以应对加密机制升级等场景。评估使用了 100 条按角色和区域条件生成的合成漏洞资产记录，对应 62 个角色一致的资产，并进行了 30 次独立生成器复制。结果表明，与 PECR 排序相比，仅依赖 CVSS、EPSS、KEV 优先以及 CVSS×EPSS 的排序 Kendall τ 值分别为 0.196、0.221、0.301 和 0.234，而包含五个因素的简化上下文比较器的 τ 为 0.755。在 30,000 次联合 Dirichlet 权重抽取中，宽、中、窄扰动下的中位 τ 分别为 0.836、0.893 和 0.924。当掩盖 10% 的因子单元时，有 47 条记录被标记为证据有限，因为它们的置信区间跨越了决策边界。该研究建立了可执行的规范、合成队列差异化验证和压力测试鲁棒性，但未使用真实结果标签，因此不能证明预测准确性、避免损失或生产环境有效性。适合安全运营团队、漏洞管理研究者以及 SD-WAN 架构设计者阅读，以参考如何将上下文信息融入优先级决策。

本研究聚焦于通用漏洞评分系统（CVSS）在现实安全漏洞评估中的分数不一致性问题。作者通过用户中心的研究方法，邀请多位安全专家对不同漏洞进行CVSS评分，分析评分结果的差异及其根源。研究揭示了CVSS评分过程中主观判断对最终分数的影响，包括对攻击向量、攻击复杂度等指标的解读差异。论文还探讨了标准化培训或自动化辅助工具对提高评分一致性的潜在作用。实验结果表明，即使经验丰富的评估者之间也存在显著分歧，这威胁到基于CVSS分数的风险优先级排序的可靠性。研究贡献在于量化了不一致性的程度，并提出了改进评估流程的建议。