ThreatLinker 論文閱讀分析：當漏洞情報真正要拿來做防禦，光知道有 CVE 還不夠，還得知道它更像哪種攻擊模式

本文由 AI 產生、整理與撰寫。

論文基本資訊

• 論文標題：ThreatLinker: An NLP-based Methodology to Automatically Estimate CVE Relevance for CAPEC Attack Patterns
• 作者：Alessandro Palma、Andrea Ceccarelli、Luca Roffia、Andrea Bondavalli
• 來源：arXiv / EDCC 2026
• 年份：2025（2026 版本更新）
• arXiv：https://arxiv.org/abs/2501.07131
• 主題：Vulnerability Intelligence、CVE、CAPEC、Attack Pattern Linking、Semantic Similarity、Keyword Search、Threat Modeling

如果說 SynthCTI 在處理的是 ATT&CK technique mapping 的長尾資料問題，TRIAGE 在處理的是 CVE 到 ATT&CK impact 的自動化，那這篇 ThreatLinker 剛好把中間另一塊很少被認真補好的地帶拉出來：我們能不能把 CVE 直接連到 CAPEC attack patterns，而不是只停在 CWE 或 CVSS 那種比較靜態的欄位？

這件事看起來不像把 CVE 映射到 ATT&CK 那麼吸睛，但其實非常核心。因為 CAPEC 代表的不是漏洞有多嚴重，而是這個漏洞更像會被哪一類攻擊手法利用。對很多風險分析、threat modeling、弱點優先排序、甚至控制措施設計來說，這層語意往往比再多一個分數更有用。

ThreatLinker 的價值，就在於它沒有把這件事當成單純 embedding 相似度排名，而是很務實地承認：資安文本裡很多真正有辨識力的線索，不在抽象語意，而在那些很硬的術語、縮寫、攻擊名稱與關鍵詞。 也因此，這篇 paper 的主張不是「semantic model 越大越好」，而是「語意相似度要和 domain keyword evidence 一起看」。

這篇論文真正想補的，是 CVE、CWE、CAPEC 之間那條常常斷掉的知識鏈

作者一開始點得很準：理論上，我們可以透過 CVE → CWE → CAPEC 這條鏈，從漏洞一路推到可能的攻擊模式；但實務上這條鏈常常不好用。

• 很多 CVE 根本沒有完整、可靠的 CWE 對應。
• 就算有 CWE，它往往也很抽象，對應到一大票 CAPEC。
• 同一個 CWE 會覆蓋太多不同 exploit semantics，對現場判斷不夠細。

作者舉的例子很典型：CVE-2021-22986 會對應到 CWE-20（Improper Input Validation），但這個 CWE 太廣了，往下可能連到 Parameter Injection、Command Injection、HTTP Response Splitting 等多種 CAPEC。若沒有更多上下文，你根本不知道哪個 attack pattern 比較像真實風險。

這也是 ThreatLinker 的問題意識：漏洞管理的結構化欄位很重要，但只靠欄位連欄位，通常不足以長出夠細的攻擊脈絡。 你還是得回到文字描述本身，去看 CVE 描述與 CAPEC 說明之間到底有沒有真的語意重疊、術語重疊與攻擊意圖重疊。

ThreatLinker 的核心想法很務實：不要只做 semantic similarity，還要把資安術語當成一等訊號

這篇最值得記住的設計，是它把整個關聯分成兩條線：

1. Semantic similarity：看 CVE 描述和 CAPEC 各欄位在語意上有多接近。
2. Keyword search：看兩邊是否共享關鍵攻擊詞、縮寫、特定術語或明確攻擊名稱。

最後再用一個很簡單但有效的加權公式把兩者合起來：

S_overall = α × S_semantic + (1 − α) × S_keyword

作者在實驗裡把 α 設為 0.3。這其實很有意思，因為它等於在說：在 CVE-CAPEC 這種任務裡，keyword evidence 不是附屬品，而是比分布式語意更重的訊號。

我覺得這個取向很對。因為資安文本跟一般語言任務不一樣。很多時候，一個 acronym、某個 exploit 名稱、某個 injection 類型、某個特定 protocol 名詞，帶來的辨識力遠高於抽象語意接近。你如果只看 embedding，很容易把一堆「看起來都像 web attack」的東西混在一起，但 analyst 真正在意的，是它到底更像 SQL Injection、XSS、default credentials，還是某種更具體的 execution pattern。

Keyword module 不是土法煉鋼，而是針對資安語料做過特化

ThreatLinker 的 keyword search 並不是簡單地做字面比對。它特別處理了幾件在資安文本裡很實用的事：

• lowercasing、tokenization、stop-word removal、lemmatization 等基本前處理
• 縮寫展開與對齊，例如 SQLi、XSS 這類術語
• 從 CAPEC name 與 alternate terms 中抽 keyword
• 若某 acronym 在 CAPEC 名稱裡是完整概念，直接給高分
• 若 acronym 對應到更細的 pattern（例如 Stored XSS），就再看 CVE 描述裡是否也出現限定詞

這一段很像在告訴研究圈：別再把資安 NLP 當成一般 sentence similarity 任務。 很多看起來像「小技巧」的工程細節，實際上才是讓系統在 domain 內站得住腳的關鍵。

論文裡就舉了很典型的例子：某個 Joomla 漏洞描述裡直接寫了 XSS 和 SQLi。如果只靠語意相似度，你大概知道它跟 web 攻擊相關；但 acronym 本身其實已經直接把可能的 CAPEC pattern 範圍壓得很小。ThreatLinker 就是把這類訊號提升成顯式特徵，而不是期待 embedding 自己悟到。

Semantic similarity 也不是亂選模型，而是用現成強模型當骨架

在語意相似度部分，作者用了幾個常見而合理的模型作為基底：

• SBERT
• SentenceTransformer paraphrase-mpnet-base-v2
• ATTACKBERT

其中 ATTACKBERT 因為有針對資安語料做過 domain adaptation，本來就比一般通用 embedding 模型更適合吃這類文本。ThreatLinker 的重點不在於再訓練一個新 encoder，而是在這些現成模型上面疊一層資安特化的 ranking logic。

作者拿來做 semantic comparison 的 CAPEC 欄位也不只 name / description，還包括：

• attack execution flow
• mitigations
• prerequisites
• resources required

這其實很關鍵。因為 CAPEC 的價值本來就不只在標題，而在於它怎麼描述攻擊前提、執行步驟與攻擊資源。把這些欄位一起吃進去，才比較像 analyst 在做真實關聯，而不是只比兩個 title 誰比較像。

資料集是這篇很重要的貢獻：不只複製舊資料，還做了更大的人工驗證 ground truth

ThreatLinker 不只是提方法，也補了資料。作者做了兩套 ground truth：

• GT1：沿用先前研究的資料，約 63 組 CVE–CAPEC pairs（再加上少量新關聯）
• GT2：作者新建的更大資料集，包含 223 組 manually validated CVE–CAPEC pairs，覆蓋 160 個 CVE 與 118 個 CAPEC

GT2 這部分很值得看，因為它不是機器自動拼出來，而是由四位資安專家參與驗證與仲裁，目標是讓 CAPEC 覆蓋面更分散，不要只集中在少數熱門攻擊族群。這比很多只在小樣本上做漂亮 demo 的 paper 更有誠意，也比較接近真正要拿來驗 ranking robustness 的做法。

作者還明說，這個任務用的是 ranking metrics，而不是單一分類準確率，包含：

• Recall@K
• Precision@K
• MRR（Mean Reciprocal Rank）

這個選擇很合理，因為 CVE 對 CAPEC 本來就不一定是單一正解；很多時候 analyst 真正在意的，是正確 attack pattern 有沒有被推到前幾名，而不是模型有沒有在唯一標籤分類上答對。

結果怎麼看？ThreatLinker 不是小贏，是把傳統 similarity baseline 明顯往前推

先看較小的 GT1：

• ThreatLinker + ATTACKBERT 在 Recall@1 = 0.455，比先前方法高約 23%
• Recall@5 = 0.731
• Recall@10 = 0.81
• MRR = 0.587，是整組裡最好

這代表什麼？代表它不只是把正確 CAPEC 找得到，而是真的比較有能力把它排到前面。對分析師來說，這很重要，因為 top-3 / top-5 和第 60 名是完全不同的使用體驗。

再看作者自己擴建的 GT2：

• ThreatLinker + SBERT 在這組資料上反而最強
• Recall@10 > 0.7
• 在 K=1 時，只有 ThreatLinker 家族能把 recall 撐到 0.3 以上
• 最佳 MRR = 0.585，顯著高於最佳 baseline 的 0.397

這組結果很有意思。它說明 ThreatLinker 的收益不是只綁定某一個 encoder，而是keyword-enhanced ranking 這個思路本身就有效。在 GT1 上 ATTACKBERT 最猛，在 GT2 上 SBERT 版本最好，反而更能證明方法論不是只對單一模型湊巧生效。

這篇論文最有現實感的地方，是它承認 precision 沒那麼好看，而且這不一定全是模型的錯

我很喜歡作者沒有只拿高 recall 講故事。論文裡也坦白寫了：Precision@K 整體還不算高，在 GT1 上不超過 0.5，GT2 上不超過 0.4。

但這裡有個很重要的現實：CVE 對 CAPEC 的關聯本來就不是非常乾淨的單標籤問題。 一個漏洞可能合理對應多個攻擊模式；而且 CAPEC 裡很多 pattern 有 parent/child 或近義家族關係。於是模型把「很像、也很合理」的 CAPEC 排在前面，卻不是 ground truth 裡被標的那個，最後就會被算成 false positive。

換句話說，ThreatLinker 其實又一次碰到資安 AI 很常見的老問題：benchmark 的離散標註方式，不一定完全等於 analyst 覺得有用的候選排序。 這和 TRIAGE 裡 ground truth 本身帶灰區的問題很像，只是這次出現在 CVE-CAPEC ranking。

把它接回最近的主線，ThreatLinker 補上的其實是「漏洞情報怎麼長出攻擊模式」這一層

如果把最近幾篇擺在一起看，位置其實很漂亮：

• VulGD 在補 vulnerability knowledge substrate
• SynthCTI 在補 ATT&CK technique mapping 的長尾訓練資料
• TRIAGE 在做 CVE → ATT&CK exploitation / impact mapping
• ThreatLinker 則把 CVE 先往 CAPEC attack patterns 這層接上去

也就是說，它沒有直接跳到 defender 最熟的 ATT&CK，而是回頭把更上游的「漏洞如何對應攻擊模式」先補起來。這件事其實很合理，因為很多威脅建模、攻擊模擬、control selection、風險敘事，本來就更適合先用 CAPEC 這種 attack-pattern 語言來描述。

我甚至會說，ThreatLinker 和 TRIAGE 不是競爭關係，而是兩條很互補的線：

• ThreatLinker 比較像在問：這個漏洞更像會被哪種攻擊模式利用？
• TRIAGE 比較像在問：若真的被利用，較可能長出哪些 ATT&CK exploitation / impact path？

前者比較接近 attack pattern semantics，後者比較接近 operational impact semantics。兩者接起來，才比較像完整的 vulnerability intelligence pipeline。

對實務團隊來說，這篇最值得帶走的五件事

• 不要只信語意 embedding。 在資安文本裡，縮寫、攻擊名稱、精準術語本身就是高價值特徵。
• CVE → CWE → CAPEC 的欄位鏈不夠細。 真正可用的關聯，常要回到描述文本本身去補。
• Ranking 比單一分類更合理。 對 analyst 來說，有用的是 top-k 候選，而不是假裝只有一個絕對正解。
• 資料集建設很重要。 GT2 這種人工驗證的 CVE-CAPEC 對應集，本身就是社群少見但很需要的基礎設施。
• Vulnerability intelligence 不該只停在 CVSS / CWE。 若能多一層 CAPEC 或 ATT&CK 脈絡，才更接近可操作的防禦語言。

怎麼看這篇論文？

ThreatLinker 不是那種靠超大模型、agent 架構或華麗 benchmark headline 吸睛的 paper，但它做了一件很對、而且很難被取代的事：把漏洞描述和攻擊模式之間那條模糊又重要的橋，做成一個比較可信、比較工程化的 ranking 問題。

它最有價值的地方，不是證明 keyword 比 embedding 厲害，或 embedding 比 keyword 厲害，而是證明：在資安這個 domain，真正好用的自動化通常不是純語意，也不是純規則，而是兩者結合。

如果你今天在做 vulnerability prioritization、threat modeling、攻擊面分析、control design，或想把弱點管理從「分數排序」推進到「攻擊脈絡排序」，這篇很值得看。因為它提醒我們：

一個漏洞真正有沒有情報價值，不只是它有多嚴重，而是它更像會被哪種攻擊方法拿來用。

而 ThreatLinker 給出的答案很務實：要把這件事自動化，不能只相信模型理解力，還得把資安語言裡那些硬訊號一起拉進來。