该论文提出 Athena，一个基于知识图谱的漏洞影响库识别系统。研究背景是：广泛使用的库中单个漏洞可能影响数百万下游应用，但超过半数的漏洞数据库条目存在受影响库信息缺失或错误的问题。现有自动化方法将识别问题当作孤立的文本检索任务，忽略了漏洞数据库中的关系结构。Athena 首次将漏洞数据库建模为知识图谱，并将识别问题转化为知识图谱补全任务。系统包含三个关键模块：建模模块构建综合安全知识图谱，集成 CVE、库、CWE 弱点类型、CPE 产品和软件生态系统；补全模块通过链接预测，使用模块化 KGC 主干预测给定 CVE 缺失的受影响库；重排序模块检索 KGC 候选，并使用经知识图谱嵌入增强的微调 LLM 重新打分，联合利用结构化和文本信息。在 VulLib 数据集上的实验表明，Athena 显著优于四个最先进的基线，平均 F1 比最佳基线 VulLibGen 提高 32%。值得注意的是，其仅 110M 参数的 KGC 主干就已超过 VulLibGen 在 7B 参数下的最佳配置，证明了基于图建模的有效性；重排序模块则带来进一步的显著提升，在所有评估的 LLM 主干上持续优于最佳基线。

本文系统分析了国家漏洞数据库（NVD，称为“大教堂”）与多个CVE编号机构（CNA，称为“集市”）之间在通用漏洞评分系统（CVSS）指标上的分歧问题。NVD长期以来作为漏洞信息的权威来源，支撑着软件更新优先级等下游任务；而众多CNA提供了多样化且有时相互冲突的评分。研究首先量化了NVD与公开CNA之间以及同一CNA内部（自分歧）的评分不一致程度，发现攻击复杂度、用户交互和影响维度是分歧的主要领域。通过联系NVD和其他CNA（包括开源和商业产品），并在FIRST的CVSS特别兴趣小组中讨论，作者识别出分歧的根源：部分源于人为错误，但在某些情况下，分歧实际上是合理的，甚至可能要求行业范围内改变CVE的生成方式。关键发现是，自2025年以来情况有所改善，但如果下载过去几年的完整NVD（或其他CNA数据集）用于预测模型，则在一个源上训练的模型无法可靠地泛化到另一个源，准确率可能下降高达40%。文章讨论了这些发现对实践和研究的启示。适合漏洞管理、安全运营和CVSS标准制定者阅读。