该论文针对漏洞评分体系在补丁优先级排序与风险管理中的实际效果展开实证比较。长期以来，CVSS、EPSS 等评分系统的对比研究多停留在抽象层面，例如在 IT 漏洞数据库中计算评分之间的统计相关性，而很少考察当这些评分被嵌入系统级风险模型后所产生的操作性后果。为此，作者选取四个评分体系：CVSS（通用漏洞评分系统）、EPSS（漏洞利用预测评分系统）、SSVC（利益相关方特定漏洞分类）以及 IronMiner（经运行数据校准的专有评分系统），并以 2015 年乌克兰电网运营技术（OT）网络的重建拓扑作为统一比较底座。该事件具备已被记录的攻防拓扑与事故路径，因此能够较真实地反映 OT 环境下优先级决策的差异。结果显示，四个评分体系之间的分歧程度很高：同一批漏洞在不同体系下得到的优先级排序差异显著。这意味着评分体系的选择会实质性地影响缓解策略制定、补丁排序与资源配置，进而影响安全运营的最终落点。作者据此提出，采用组合或混合评分方法可能比依赖单一体系更为合适。该工作适合漏洞管理、OT/ICS 安全、风险评估与安全运营流程设计人员阅读。

该论文针对漏洞管理中最核心的优先级排序难题提出了一个新的开源度量指标。背景问题是攻防不对称：攻击者只需利用一个漏洞即可同时攻陷大量系统，而防御者必须修补自身环境中的全部弱点。面对高速增长的漏洞披露量和高昂的补丁成本，防御方必须在有限时间内决定先修哪些漏洞。目前业界常用的优先级指标包括 CVSS、EPSS、KEV 和 SSVC，作者指出这些指标各有取舍，涉及开放性（是否可公开复现与计算）、自动化程度、时间敏感性、覆盖范围以及对专家人工输入的依赖等维度，单一指标难以完整反映真实风险。为此，作者提出 GitHub Popularity Metric（GPM），一个完全开放、可由公众自行计算的漏洞优先级度量，其设计思路是利用 GitHub 仓库中与漏洞利用相关的“流行度”信号来推断某个 CVE 在真实世界中受到的关注与使用程度。具体而言，GPM 采集 GitHub 平台上的公开特征，包括仓库的 star 数、fork 数以及相关的独立用户数量，综合构建成一个可跨不同时间窗口计算的指标，既能反映 CVE 相对当前时间的热度，也能给出历史视角下的流行度变化。作者将 GPM 与多种现有优先级指标以及已知被利用漏洞（KEV）清单进行了对比评估，结果表明该指标能够为防御者提供有实际价值的洞见：它既能识别出其他方法遗漏的独特 CVE，也能揭示现有方法之间存在的评级不一致现象，从而起到互补与交叉验证的作用。论文还披露 GPM 已被整合进 EPSS 第 5 版，说明其已进入实际运营体系；基于该工作的演示被 ACM CCS 2026 的 demo track 接收，表明该研究兼具学术与工程落地属性。该工作适合漏洞管理、威胁情报、SOC 与补丁运营方向的研究者和工程师阅读。