EPSS 与 CISA KEV 在 204 个已被利用 CVE 上的对比：CISA 为何罕见胜出

一项针对 204 个已被利用 CVE 的对比显示，CISA KEV 在识别真实利用上罕见地胜过 EPSS。实测中 EPSS 给出的利用概率最高仅 0.02，远低于二级告警所需的 0.280 门槛，导致 3,846 条记录无一进入前两级。NVD 自 2026 年 4 月起转向风险导向的富化策略，仅处理 CISA 列为已利用或联邦政府所用软件的 CVE。