Est-ce que CTI Forecast voit venir les exploitations ?
On rejoue le passé semaine par semaine. À chaque date, le modèle ne connaît que ce qui était publié avant ; on regarde ensuite quelles vulnérabilités la CISA a ajoutées à son catalogue KEV (exploitation confirmée) dans les 30 jours suivants. Le modèle est évalué sur des semaines qu'il n'a pas vues pendant l'apprentissage.
Comparaison des méthodes
Chaque semaine, chaque méthode classe les CVE mentionnées par la recherche en sécurité et pas encore exploitées. On compte combien de celles qu'elle place en tête sont ajoutées au KEV dans les 30 jours. Total sur 6 semaines, 194 971 CVE candidates, 61 ajoutées au KEV (taux de base : 0,031 %).
| Méthode | AUC | Trouvées dans le top 10 | Trouvées dans le top 25 | Trouvées dans le top 50 |
|---|---|---|---|---|
| CTI Forecast (modèle appris) | 0,81 | 0 | 3 | 5 |
| Volume de mentions seul | 0,80 | 0 | 5 | 5 |
| EPSS seul | 0,58 | 0 | 0 | 1 |
Ce que ces chiffres veulent dire
Le bruit de la recherche en sécurité est un signal. Pour savoir quelles vulnérabilités seront ajoutées au KEV dans le mois, le volume et la dynamique des mentions dans les publications prédisent nettement mieux qu'EPSS seul. EPSS reste utile pour évaluer la probabilité d'exploitation dans l'absolu ; CTI Forecast l'intègre comme une variable parmi d'autres.
Les limites, sans détour. L'historique couvre encore peu de semaines et peu de cas positifs (61) : les chiffres varient d'une semaine à l'autre et le modèle ne dépasse pas encore le volume de mentions seul. Il est réentraîné chaque semaine ; cette page se met à jour avec lui. Une prévision est une aide à la priorisation, pas une certitude.
Poids appris par le modèle
Coefficients de la régression logistique sur variables standardisées : positif = augmente la probabilité d'exploitation, négatif = la diminue.
| Variable | Poids |
|---|---|
| mentions_7d | +0.58 |
| mentions_prev_7d | +0.34 |
| epss | +0.32 |
| acceleration | +0.15 |
| new_cve | +0.13 |
| epss_percentile | +0.08 |
| regularity | -0.14 |
| cve_age | -0.53 |
Sources
Exploitation confirmée : catalogue Known Exploited Vulnerabilities de la CISA (version 2026.11.06). Probabilités EPSS : FIRST.org / Empirical Security, scores du 6 novembre 2026. Mentions : publications de recherche en sécurité suivies par CTI Forecast.
