企业网络持续面临高级持续性威胁（APT）的攻击，攻击者利用软件漏洞逐步渗透关键资产。随着披露的漏洞数量增长，资源受限的组织必须优先修补哪些漏洞。现有的漏洞优先级标准（如CVSS）对每个漏洞独立评分，无法评估修补策略在对抗随时间在网络中推进的攻击者时的实际效果。先前的模拟工具采用强化学习（RL）模拟攻击活动，但要么忽略了漏洞管理（即攻击者不受防御阻碍），要么依赖与真实威胁数据脱节的合成网络，因此无法评估策略对抗真实攻击者的表现。为填补这一空白，本文提出了VulnGym，一个用于评估漏洞管理策略的仿真工具。VulnGym模拟一个由RL训练的攻击者，其行为基于真实的APT配置文件（如攻击模式、速度、目标选择），同时防御者执行可配置的修补策略（如基于CVSS分数、资产重要性等）。两者在一个共享且持续演化的网络表示上行动，攻击者的进展直接受防御者修补活动的影响，从而能够对给定策略进行压力测试。实验基于真实世界的漏洞数据（如CVE）和两个APT案例（例如APT29、APT41等，摘要未明确但提及两个APT），结果显示漏洞管理必须根据组织环境、对手行为、网络拓扑和资产关键性进行定制化调整。该工具可帮助安全团队在部署前比较不同修补策略的效果，优化资源分配。

该论文研究了市政机构（市、县等地方政府）网络中持续存在漏洞主机的现象。作者通过大规模互联网扫描数据，结合漏洞数据库和市政基础设施信息，识别并分析了大量未修补的脆弱主机。研究发现，市政机构面临独特的挑战，包括预算限制、人员技术能力不足、业务流程依赖老旧系统、以及缺乏安全优先级等，导致漏洞修复周期显著长于企业环境。论文采用纵向分析方法，追踪同一主机上漏洞的存续时间，并利用统计模型量化关键影响因素。主要贡献包括：1) 量化了市政机构漏洞修复延迟的规模；2) 揭示了一类“不可修补”的主机，其漏洞因业务依赖、合同约束或技术债而无法被修复；3) 提出了针对性的政策和技术建议，例如通过集中化安全运营、强制补丁管理周期、以及使用网络隔离等补偿控制措施。实验使用了来自 Shodan、Censys 等扫描数据源，结合政府公开的 IT 资产清单，覆盖了多个国家的市政网络。研究结果表明，即使高危漏洞已被公开披露并存在可用利用代码，仍有大量市政主机处于暴露状态，平均修复时间超过 6 个月。论文呼吁安全社区关注这一被忽视的群体，并推动资金和技术支持。

企业安全团队常用的修复指标如平均修复时间（MTTR）、SLA合规率、驻留时间或检测延迟等，虽然能反映部分修复效率，但往往掩盖了补丁实际到达资产环境的真实方式——例如通过计划维护窗口、部署环、紧急绕过路径等连续或周期性过程。本文提出了一种面向企业漏洞管理的“修复节奏审计”（remediation-cadence audit）方法，旨在系统性地记录和量化补丁部署的节奏特征。审计指标包括：常规平均滞后时间、发布周期、发布比例、队列几何结构、紧急/常规分流、非部署延迟、局部剩余压力证据以及宣称的速率场景。该方法将连续同均值简化模型与实际发布日历进行比较，输出局部容量判定和日历折扣——即由日历化部署消耗的均值容量占比。通过30天均值的示例数据包，展示了不同部署节奏下的影响：在两月发布列车场景下，日历折扣消耗17.4%的均值容量；月度发布列车消耗5.2%；两周筛查消耗1.3%。在16倍的攻击者调整速率范围内，两月折扣至少保持约12%，月度折扣保持在分辨率敏感的3-8%区间。因此，该审计将节奏评估转化为证据分辨率问题：当折扣相对于剩余压力不确定性或声称的余量显著时，不应单独使用MTTR/SLA作为部署证据。发布几何检查表明，部署环并不能自动恢复连续基准，而队列交错可能有利或有害。该方法是一个可复现的治理诊断工具，而非漏洞优先级排序器。本文适合安全运营负责人、漏洞管理策略制定者以及安全度量研究人员阅读。

本文提出 VeriPort，一个端到端的自动化补丁回溯系统，旨在解决开源依赖中已知漏洞的修复难题。当前，安全补丁通常仅针对最新版本发布，开发者面临两难：要么升级到最新版本（可能引入破坏性变更），要么手动将补丁回溯到旧版本。现有回溯方案只能针对单个指定版本，且无法提供充分证据证明补丁能阻断漏洞利用并保持原有功能。VeriPort 能够根据给定的漏洞公告，将该补丁可扩展地回溯到该包的所有受影响版本。对于每个回溯版本，VeriPort 构建一条证据链，以确认补丁阻断了漏洞利用并保留了预期行为。作者使用 BackportBench 基准测试（包含 128 个回溯任务）进行评估，VeriPort 成功解决了 95.3% 的任务，比现有最佳方案 Claude Code 高出 22.7 个百分点。此外，研究团队将 VeriPort 部署在 169 个高/严重等级 CVE 上，生成了超过 5000 个经过验证的回溯补丁。更重要的是，VeriPort 还发现了 2100 个版本被错误报告为受影响，以及 127 个之前未被识别的脆弱版本（涉及 92 个公告），其中 23 个公告已在上游得到修正（删除了 387 个错误版本，新增了 81 个正确版本）。该论文适合安全工程师、开源维护者和依赖管理工具开发者阅读。

本论文提出了一种名为全球CVE倡议（GCVE）的分散化、开放且可扩展的模型，用于漏洞识别、发布和运营丰富化。论文指出当前漏洞生态系统存在一个关键缺口：集中式系统（如传统CVE）提供严格的控制和广泛认可的标识符，但许多生产者（如安全厂商、开源项目）独立发布公告，缺乏用于发现、关联、丰富和复用的共享框架。GCVE作为一个社会技术标准化努力，结合了自治的GCVE编号机构（GCVE Numbering Authorities）、轻量级分配规则、分布式发布、开放的最佳当前实践（BCP）以及实用的参考实现。该模型在允许参与者根据其运营需求发布的同时，保持全局唯一性。GCVE还拓宽了漏洞记录的概念，涵盖分配、披露、目击（sightings）、拒绝标识符、观察、被利用漏洞信息以及丰富记录。论文描述了GCVE BCP过程如何支持技术互操作性和可修正的运营实践，包括漏洞处理和披露的实用指南。此外，它探讨了扩展机制，包括面向人工智能的扩展，作为一种在不集中控制的情况下演进标准的方式。特别关注了参考实现vulnerability-lookup，它聚合多个来源，支持GCVE发布和消费，实现分布式已知被利用漏洞数据，并支持自动丰富的漏洞数据流。基于MISP生态系统的经验教训，GCVE将漏洞协调不仅视为标识符分配，而且视为集体安全知识生产的开放基础设施。本文适合对漏洞管理、安全数据标准化、分散化系统感兴趣的安全研究人员和工程师阅读。

该研究采用混合方法（问卷调查n1=80 + 半结构化访谈n2=22）调查了GitHub Advisory Database中列出的开源软件（OSS）项目的维护者，探究他们在漏洞管理和平台安全特性方面的观点。研究识别出37个关键方面，发现供应链不信任和缺乏自动化漏洞管理工具是最严峻的挑战。在采用平台安全特性（如私有漏洞报告、安全策略等）时，维护者普遍存在意识不足或认为不必要的认知。令人惊讶的是，即使项目过去曾遭受漏洞攻击，仍有部分维护者继续开放公开漏洞报告，甚至忽略报告。基于这些发现，论文讨论了OSS平台（如GitHub）应如何改进，以及研究社区如何更好地支持OSS漏洞管理工作。适合安全平台设计者、OSS社区管理者以及安全研究人员阅读。

FixV2W利用知识图谱嵌入和历史重映射模式，修正NVD中无效的CVE-CWE映射，提升漏洞管理准确性。