该论文提出了一种面向操作系统（OS）的漏洞优先级排序方法，核心思想是引入‘差分严重性分析’（Differential Severity Analysis）。传统漏洞评分（如CVSS）仅基于漏洞本身的固有属性，忽略了同一漏洞在不同操作系统环境下的实际可利用性与影响差异。作者观察到，相同漏洞在不同OS内核中的触发条件、可利用原语、缓解机制覆盖度以及默认配置下可达的攻击面均存在显著差异，因此单一严重性评分会导致安全团队错配修复资源。论文设计了一种自动化分析框架，通过对比漏洞在多个OS（如Linux、FreeBSD、Windows等）中的补丁差异、受影响代码路径的解剖结构以及运行时缓解措施（如ASLR、CFI、SMEP）的有效性，为每个漏洞生成针对特定OS的严重性调整因子。该方法还利用静态分析和二进制比对技术，识别同一漏洞在不同OS中的实际可触发代码范围，并结合历史利用数据进行验证。实验部分评估了多个已知漏洞，结果表明差分严重性排序能够更准确地反映真实环境风险，相比传统CVSS基线，将高风险漏洞的排序一致性提升了约30%，同时发现若干被低估的跨OS漏洞变体。论文的主要贡献包括：首次系统化定义OS感知的漏洞严重性差异模型；提出可扩展的差分分析管线；以及构建了面向漏洞管理决策的评估基准。该研究适合漏洞管理平台设计者、安全运营团队负责人以及系统安全研究人员阅读，有助于推动从‘通用评分’向‘场景化评分’转变，提升补丁优先排序的精确性。

本文提出了一种名为“局部利用危害模型”（Local Exploit Hazard Model）的贝叶斯框架，旨在将漏洞利用预测评分系统（如EPSS）提供的全局概率转化为组织内部特定资产的每日利用危害率。核心创新在于：首先，通过专家意见池初始化控制措施有效性的概率分布，并利用遥测、攻击模拟或渗透测试的数据，通过Beta-Binomial推断动态更新该分布；然后，根据攻击向量对齐将更新后的控制有效性应用于EPSS评分，得到每个漏洞的实际利用可能性；接着，采用标准生存分析技术（包括恒定指数危害和威布尔危害模型），其中威布尔模型的形状参数通过已知被利用漏洞（KEV）目录的时间数据进行校准，从而捕捉漏洞老化后利用风险随时间衰减的实证规律。由于危害率在独立性假设下是可加的，单个漏洞的危害率可逐层聚合至主机、网络、业务单元乃至整个组织。最后，该框架能够模拟并排序候选修复措施所产生的危害减少量，为防御者在有限资源下提供可辩护的定量优先级依据。论文还讨论了未来扩展方向，包括事件可能性建模和财务损失建模。该研究对于希望从基于CVSS的静态评分转向动态、数据驱动的漏洞管理实践的安全团队具有重要参考价值。