LLMはバグ報告の文面に惑わされCVSSを誤判定
原題 Narratives Mislead: An Empirical Study of How LLMs Misjudge CVSS Severity in Bug Bounty Reports
arXivの論文が、バウンティ報告でLLMがCVSS深刻度を誤って評価する傾向を実証的に調べた。報告の書き方に引きずられるという。プラットフォームには報告が届く速度がベンダーのトリアージを上回る問題があり、LLMの活用が検討されている。
論点
脆弱性トリアージをLLMに任せてよいか
- コメントを読み込み中…
議論のヒントを見る
賛成側の視点
報告が多すぎて人が追えない。誤差があっても一次選別には使える。反対側の視点
文章がうまい報告に騙される。深刻度を誤る判定機は危険だ。
みんなのコメント 件
コメントを書く