本文针对网络安全防御中漏洞优先级排序（triage）的“前瞻性（prospective）”评估问题展开研究。在实际场景中，防御者无法同时修复所有新披露的漏洞，因此需要基于截止决策时间点可见的公开证据来预测漏洞的可利用性（exploitability）。论文提出了一种“计算预算下的可利用性证据图”（Compute-Budgeted Exploitability Evidence Graphs）方法。该方法将安全公告、漏洞利用归档、修复提交以及黑客社区讨论等异构信息源统一建模为时间证据图（temporal evidence graph）；然后引入一个预算选择器（budgeted selector），为每个CVE仅选取少量（如2份）证据文档，并基于这些文档计算可利用性评分，同时每个评分都附带一个可审计的证书（auditable certificate），其中包含支持信号、时间戳、来源层和泄漏标志（leakage flags）。实验部分使用了12012个来自公开来源的前瞻性CVE进行验证。结果显示，预算下的证据选择将泄漏安全的前瞻性recall@50从仅基于严重性的基线0.010提升至0.026，而每个CVE使用两份证据文档即可捕获大部分价值。值得注意的是，一个强交叉编码器重排序器（cross-encoder reranker）却将前瞻性recall降至0.016，这表明语义相关性与可利用性证据并非等同。更重要的是，论文指出现有研究中常见的简单随机划分和未过滤证据的做法会显著高估性能——将表观前瞻性recall夸大8.5倍，EPSS高召回率夸大5.0倍。本文的主要贡献在于提出了一个泄漏安全的评估协议（leakage-safe evaluation protocol）以及可用于验证漏洞优先级声明（contestable vulnerability-prioritization claims）的可复现证据证书。该工作有助于安全运营团队在有限资源下更准确地识别最危险的漏洞。

该论文提出了一种新的漏洞可利用性评估指标——Expected Exploitability (EE)，旨在解决现有指标在漏洞披露时评估不准确且存在类别偏差的问题。传统的可利用性指标（如CVSS）依赖于静态技术特征，这些特征对漏洞利用开发的预测能力较差，并且由于利用标签不准确导致分类器存在类别偏差。为了克服这些挑战，研究者采用了一种随时间变化的可利用性视角，利用数据驱动的方法从披露后的技术文章、概念验证漏洞代码和社交媒体讨论等人工制品中学习EE。论文分析了现有特征对于预测功能性漏洞的局限性，并设计了新的特征集以充分利用以前未被充分利用的人工制品。同时，研究者揭示了漏洞利用预测中的标签噪声问题，将其归类为最难的类别和特征依赖的标签噪声，并基于领域特定观察开发了将噪声鲁棒性融入EE学习的技术。在103,137个漏洞的数据集上，EE将精确率从现有指标（包括两个最先进的漏洞利用分类器）的49%提高到86%，并且性能随时间不断提升。EE分数还能捕获利用的紧迫性，区分哪些漏洞在近期内会被开发。该工作为安全团队提供了一种更准确的漏洞可利用性评估方法，有助于优先修复高风险漏洞，但具体实践需要进一步验证。