2、利用机器学习实现CVE摘要的自动CPE标注

利用机器学习实现CVE摘要的自动CPE标注

1. 问题陈述与评估

我们试图解决的高层次问题是确定文档中描述的软件及其版本。一种做法是将每个文档映射到可用CPE列表中已有的CPE，但由于该列表存在缺陷，许多产品的条目缺失，约60%在CVE中提及的CPE仅被提及一次，新CVE描述新的、不存在的CPE的概率很高。因此，我们决定让系统创建新的CPE，即找出尚未在现有CPE列表中提及的软件。

为了评估系统的成功与否，我们将其作为传统的命名实体识别（NER）模型进行衡量：
- 精度（Precision） ：$precision = \frac{\sum true\ positive}{\sum true\ positive + \sum false\ positive}$
- 召回率（Recall） ：$recall = \frac{\sum true\ positive}{\sum true\ positive + \sum false\ negative}$
- F1值 ：$F1 = 2 \cdot \frac{precision \cdot recall}{precision + recall}$

同时，我们会从测量中移除所有正确预测的O标签，因为它会极大地夸大结果。此外，我们还会测量模型的整体准确率，即完全正确进行NER预测的CVE摘要数量除以特定数据集中的摘要总数。采用保留策略来测量这些指标，包括训练集用于训练模型、验证集用于在开发过程中优化模型、测试集用于测试最终结果。

最终模型旨在用于DVM工具，以提供与CVE相关的