Rappaport：把 LLM 当作最不可信组件的 CVE 分诊流水线

开源 CVE 分诊流水线 Rappaport 将优先级判断放在纯代码中先行完成，语言模型只负责写摘要，且无工具、无写权限、无权改排名。作者发现 CVE 发布当天可用于排序的信号极少，真正的设计难题是反复追问而非打分，因此流水线持续从 NVD、EPSS、KEV、OSV 等信号源重新取数。配置相关问题和未披露零日被明确标记交由人工处理。