收益：
- 能够将 CVSS（严重性）、EPSS（滥用可能性）和 KEV（实际滥用）与机构背景（暴露、严重性、补偿性控制）相结合，准确确定优先级
- 能够验证人工智能可以在 NVD/EPSS/KEV 源中创建的 CVE 编号和分数，并通过变更管理门传递修补计划
- 了解高 CVSS 本身并不意味着优先级，但真正的风险是由上下文决定的。
每个组织中都存在数以千计的漏洞：软件中的漏洞、配置错误或攻击者可以利用的过时组件。漏洞扫描器（一种扫描系统并列出已知漏洞的工具）可以轻松在中型组织中产生 10,000-50,000 个发现结果。问题不在于找到它们，而在于找到它们。在这一堆不可能同时关闭它们的堆中，决定先修补哪一个非常重要。错误的优先级会以两种方式造成损害：您推迟了真正危险的事情，或者您因数千个不重要的发现而耗尽了团队和业务连续性。
人工智能是这一优先顺序的有力帮助。它可以对数千行扫描输出进行分组，合并重复项，将每个发现翻译成人类语言，解释“为什么这很重要”，并提供优先级大纲。但人工智能不知道您组织中的哪台服务器向互联网开放以及哪台服务器保存着关键数据；最危险的是，它可以伪造一个不存在的漏洞标识（CVE）。因此，人工智能会生成并解释排名大纲，但最终的优先级决定是由分析师根据机构背景和经过验证的数据做出的。
优先级的基本概念
让我们澄清几个术语。 CVE（常见漏洞和暴露）是为每个已知漏洞提供的唯一 ID（例如 CVE-2021-44228、臭名昭著的 Log4Shell）。 CVSS（通用漏洞评分系统）是对漏洞的技术严重性进行评分的标准，从0到10； 9.0+ 被认为是“关键”。但仅仅 CVSS 是不够的，因为它说的是“它可能有多严重”，而不是“它实际上被滥用的可能性有多大”。这就是 EPSS（漏洞利用预测评分系统）的用武之地：它预测漏洞在未来 30 天内实际被利用的可能性。还有KEV（已知被利用的漏洞）列表：已被证明在实际攻击中被利用的漏洞；这些是绝对优先的。
正确的优先级结合了这三者和企业环境：高 CVSS + 高 EPSS + KEV 列表 + 关键服务器向互联网开放 = 立即修补。高 CVSS 但低 EPSS + 内部网络 + 限制访问 = 计划修补。
优先因素表
因素
它说什么
来源
一个人就够了吗？
CVSS评分
技术严肃性 (0-10)
NVD/供应商
不——它没有说概率
EPSS评分
被利用的概率（%）
FIRST.org
不——上下文没有说
电动车清单
真的被利用了吗？
西萨凯夫
信号强，不止一个
资产重要性
服务器的价值有多大？
机构库存
提供背景信息
曝光
是向互联网开放还是孤立？
网络架构
提供背景信息
补偿控制
WAF，有分段吗？
机构信息
降低风险
AI很快就填满了这张表；但您有责任从官方来源确认 CVSS/EPSS/KEV 值，并利用机构知识添加资产关键性和风险敞口。
漏洞优先级划分步骤
- 收集扫描输出并使其匿名。屏蔽内部主机名和 IP。
- 分组并减少重复。让 AI 结合同一漏洞在不同机器上的重复情况，创建唯一的 CVE 列表。
- 丰富。包括每个 CVE 的 CVSS、EPSS 和 KEV 状态 - 但请从官方来源验证它们。
- 添加上下文。哪个系统向互联网开放，哪个系统保存关键数据，哪个补偿控制存在——你把它们加起来。
- 排序方式。制定一个结合了严重性+可能性+背景的优先级列表。
- 核实并决定。确认上述发现的 CVE 是真实的，并且这些版本在您的机构中实际存在；作为分析师批准修补计划。
三个迷你箱子
案例 1 — 12,000 个发现，40 个真正的优先事项。一位分析师向 AI 提供了 12,000 行匿名扫描输出。 AI 结合了重复项，将其减少到 380 个独特的 CVE，用 EPSS 和 KEV 数据丰富了它们，并突出显示了“KEV 列表中且位于向互联网开放的服务器上的 40 个漏洞”。分析师在NVD和KEV目录中确认了这40个CVE，在24小时内修补了实际存在的3个关键漏洞。堆栈已从 12,000 个缩减至可管理的 40 个；分析师做出了决定。
案例 2 — 假 CVE。另一位分析师则优先考虑人工智能； AI 表示“CVE-2023-88888，CVSS 9.8，立即修补。”分析师在 NVD 中搜索这个数字——没有记录，模型是虚构的。如果没有得到确认，团队就会一直在寻找不存在的补丁。教训：在 NVD/供应商注册表中验证之前，并非每个 CVE 编号都具有优先级。
情况 3 — CVSS 高但风险低。扫描器在内网测试服务器上发现 CVSS 9.1 漏洞。人工智能把这个放在第一位。但分析师补充了背景：服务器对互联网关闭，没有关键数据，前面有网络分段，EPSS 得分为 0.4%。在同一个列表中，还有一个漏洞是 CVSS 7.5，但已向互联网开放，且位于 KEV 中。分析师修正了排名：KEV中的漏洞，CVSS较低，但实际被利用，排在第一位。教训：CVSS 本身并不是一个优先事项；上下文决定。
弱提示/强提示
弱提示：
将这些漏洞从最危险到最危险进行排名，并写出它们的 CVSS 分数。 [扫描输出]
这种说法仅依赖于 CVSS（忽略概率和背景），为 AI 适应 CVSS/CVE 值敞开了大门，并且没有考虑机构风险。
强力提示：
您的角色：确定安全分析师 DRAFT 助理的优先级。决策；不要订购修补程序。处理以下匿名扫描输出：(1) 合并重复项，输出唯一的 CVE 列表，(2) 填充每个 CVE 的 CVSS、EPSS 和 KEV 状态，但将每个值标记为“[必须从 NVD/EPSS/KEV 进行验证]”；不要编造任何价值观，如果您不确定，请写“[未知]”，(3) 给我写 3 个我应该就机构背景提出的问题（风险暴露、资产关键性、补偿性控制），(4) 仅根据技术数据提供初步排名，并声明我将根据企业背景进行纠正。输出：[匿名扫描结果]
强大的提示要求 CVSS/EPSS/KEV 三重奏，让每个值进行验证，从您那里获取机构背景，并为您提供最终决定。
可复制的提示模板
漏洞分组模板 处理以下匿名扫描输出：(1) 合并不同计算机上出现的相同 CVE，(2) 提取唯一的 CVE 和受影响计算机的数量，(3) 按产品/组件进行分组。不要编造任何 CVE 编号；不要添加源中没有的内容。输出：[粘贴]
TRIPLE ENRICHMENT TEMPLATE 对于 CVE 列表，添加 CVSS 基本分数、EPSS 概率以及是否在每行的 KEV 列表中。使用“[验证：源]”标志导出每个值；提供准确的数据、捏造。对于您不确定的 CVE，键入“[在 NVD 中确认]”。 CVE：[粘贴]
上下文问题模板对于以下优先级漏洞，生成您需要向我询问的有关组织上下文的问题，以便我可以正确地对它们进行排名：暴露（是否向互联网开放）、资产关键性、数据敏感性、补偿性控制、补丁窗口。我会给出答案；之后您才更新排名。漏洞：[粘贴]
补丁计划草案模板草稿基于经过验证的优先级列表和我提供的上下文的补丁计划：立即（24 小时）、短期（7 天）、计划（30 天）；每个漏洞和潜在业务影响/中断风险的理由。这是草案；批准和实施属于分析师和变更管理。数据：[粘贴]
常见错误
- 只是看CVSS。高 CVSS 可能表明实际风险低；将 EPSS（概率）、KEV（实际利用）和背景结合起来考虑。
- 不验证 CVE。非AI可以补CVE数字和分数；通过 NVD/经销商注册确认每一项。
- 绕过制度背景。是否向互联网开放，是否有关键数据，是否有补偿性控制——这些完全改变了排名。
- 假设版本匹配。浏览器有时会读取错误的版本；验证您的组织中是否确实存在该漏洞（误报扫描）。
- 单独实施补丁计划，不会影响业务。关键补丁可能会导致业务中断；变更管理和测试至关重要。
提示：优先级的黄金组合是“KEV上市+互联网开放+高EPSS”。如果这三者相交，则无论 CVSS 如何，该漏洞都会排在列表的顶部。
注意：将漏洞声明为“严重”并立即修补它也可能存在风险；未经测试的补丁可能会导致生产崩溃。 AI制定的计划是蓝图；实施要经过变更管理流程和测试门。
总之
漏洞管理的困难部分不是找到它，而是突出显示数千个发现中正确的一个。人工智能对扫描输出进行分组，减少重复，将其翻译成人类语言，并提供排名大纲。但适当的优先级并不是来自单一数字：CVSS（严重性）、EPSS（可能性）、KEV（实际利用）和制度环境（暴露、关键性、补偿性控制）是一起评估的。 AI最危险的错误是非CVE和分数造假；因此，每个值都在 NVD/EPSS/KEV 中进行验证，企业上下文由您添加，修补计划将通过变更管理大门。
应用任务
获取示例扫描输出（来自您自己或示例数据的匿名）。使用“漏洞分组”和“三重丰富”模板从 AI 中提取独特的 CVE 列表和 CVSS/EPSS/KEV 大纲。自行在 NVD 和 CISA KEV 目录中验证前 5 个 CVE；尝试捕获至少一个虚构或错误的值。然后回答适合您环境的“上下文问题”模板中的问题，并注意顺序如何变化。
清单
- [ ] 我对扫描输出进行了匿名处理；主机和 IP 被屏蔽。
- [ ] 我合并了重复项以获得唯一 CVE 的列表。
- [ ] 我在官方来源中验证了每个 CVE 和 CVSS/EPSS/KEV 值。
- [ ] 知道它可能是假的或错误的 CVE/分数，我确认了它。
- [ ] 我在排名中纳入了制度背景（曝光、关键性、补偿性控制）。
- [ ] 不仅仅是 CVSS；我还研究了 EPSS 和 KEV。
- [ ] 我将补丁计划视为草稿；我添加了测试和变更管理门。