该论文面向网络安全自动化中的标准化、机器可读剧本（playbook）需求。OASIS CACAO 提供了厂商中立的剧本表示，但缺少调用外部产品和服务所需的、与具体产品绑定的集成构件（artefact）。作者提出 Common CACAO Registry（CCR），一个开放、带来源追溯（provenance-aware）的 CACAO HTTP-API 连接器信封（connector envelope）注册表。每个信封记录某 API 操作的命令、输入、目标、认证相关信息、来源、验证证据以及成熟度元数据。CCR 采用质量门控：接受条件同时要求满足 CACAO v2 schema 校验，并且与源 OpenAPI 操作的平均反向验证（back-validation）得分不低于 0.8；六层成熟度模型用于记录逐步增强的证据，并把“通过门控”与“可运行就绪”区分开来。为初始化注册表，作者构建混合式 OpenAPI 到 CACAO 流水线：确定性代码负责抽取源自接口的事实、生成标识符、连接交叉引用并校验结构；受约束的大模型仅提供有界语义增强，包括动作命名、认证信息解释和 CACAO activity 标注。对 8 个安全 API 的评估得到 713 个 CACAO schema 有效信封，平均反向验证得分 91.5%，其中 675 个能在本地测试框架中生成格式良好、可派发的 HTTP 请求。与基于确定性规则的基线对比显示，机械性 API 结构通过规则翻译保留得更可靠，而大模型提供有界语义增强，最突出的是 CACAO activity 标注。结果支持把 CCR 作为 CACAO 动作步骤的可复用集成基础设施，并作为更广泛的欧洲共同注册表的初始基础。

该论文针对大型语言模型（LLM）在恶意软件分析中的应用进行了实证研究，重点评估检索增强生成（RAG）技术对解释质量的影响。研究背景是：安全分析师常借助LLM来自动总结和解释恶意软件行为，而RAG被认为可以通过注入外部安全知识来提升解释质量。作者以VirusTotal报告作为结构化输入，在多个LLM上对比了有无RAG时的解释效果。实验发现，RAG在大多数情况下反而降低了解释质量，具体表现为：引入分散注意力的弱相关上下文、增加叙述噪声或生成泛泛的写实性描述。这表明，当结构化安全证据已经足够时，RAG会产生反效果。作者因此提出，恶意软件解释本质上是信号提取任务，而非知识检索问题，并基于此给出了安全开发工作流的设计建议。该研究挑战了RAG在安全关键型管道中的普遍适用性，为未来设计更可靠的LLM辅助分析工具提供了重要参考。