Newest papers

Narratives Mislead: An Empirical Study of How LLMs Misjudge CVSS Severity in Bug Bounty Reports

Ruitao Feng, Yuekang Li, Yao Zhang · 2026 · arXiv

DOI: 10.48550/arXiv.2610.24623 · open-access PDF

Vietnamese

Các nền tảng thưởng lỗi nhận được báo cáo lỗ hổng nhanh hơn các nhà cung cấp có thể sắp xếp chúng, và các mô hình ngôn ngữ lớn (LLM) ngày càng được xem xét để gán độ nghiêm trọng của Hệ thống Điểm lỗ hổng phổ biến (CVSS) thúc đẩy ưu tiên. đánh giá trước ghi điểm mô tả CVE ngắn và độ chính xác báo cáo, nhưng triển khai phụ thuộc vào cách các mô hình sai, không chỉ là tần suất. CVSS cung cấp cho mỗi số liệu một ý nghĩa chính thức khác với cách các nhà nghiên cứu mô tả tác động trong các báo cáo kể chuyện, và lý do mô hình gợi ý rằng các lỗi tập trung ở nơi hai khác nhau; chúng tôi hỏi liệu mô hình này có liên quan hay không.

Machine translation (Meta M2M100); the English original follows.

Abstract

Bug bounty platforms receive vulnerability reports faster than vendors can triage them, and Large Language Models (LLMs) are increasingly considered for assigning the Common Vulnerability Scoring System (CVSS) severity that drives prioritization. Prior evaluations score short CVE descriptions and report accuracy, but deployment depends on how models err, not only how often. CVSS gives each metric a formal meaning that departs from how researchers describe impact in narrative reports, and model rationales suggest that errors concentrate where the two diverge; we ask whether this pattern is syst

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange