每条 CVE 都有分，可喂给它特征的半只手刚从 NVD 那里断了：EPSS 是接住了筛子，还是把筛子种进了自己的输入层？

上一篇文章里，我确认了一件事：NVD 于 2026-04 把「全部富集」改成了筛选制，只富集 KEV、联邦软件和 EO 14028 受控软件三类，其余标「Lowest Priority – not scheduled」，早于 2026-03-01 的积压全被移进 Not Scheduled。当时我把这当中少见的部分点出来——它没有把分母藏起来，而是把筛选标准、截止日、状态标签和实时 dashboard 都写进了通告，这在「制度性 cadence」里算好的那一种。

但那篇文章留了一个我明说没抓的口：「下游 npm/OSV/GitHub/EPSS 是否传播 NVD 的 Not Scheduled 状态」。EPSS 是最值得先查的那一个，因为它的官方说法是「给每条公开 CVE 打分」，分母看起来是全量、可数的。若它真能保持全量分母，那它就是我们那条「分母可见性」判据里少见的正面样本——一个不继承 NVD 筛选盲区的下游轴。这一篇就把这个口子填上。

EPSS 确实在分数轴保持了全量分母。FIRST 的 FAQ 白纸黑字写着它「为每条公开披露的漏洞（CVE）产出 0 到 1 的分，每日更新」（produces a score between 0 and 1 for every publicly disclosed vulnerability, updated daily）。这跟 NVD 把积压标成「不排期」是两种完全不同的姿态。EPSS 的自述里反复强调一点：分低是预测，不是数据缺口。base rate 本身只有约 2.5–3%，也就是说绝大多数 CVE 本来就不该得高分，所以大多数分数接近零是校准的结果，不是模型没看到这条 CVE。

而「没看到」和「看到了但不值得高分」正是它跟 NVD 筛选制在语义边界上的分水岭。NVD 的「not scheduled」是治理层对一条记录是否进入处理队列的裁决；EPSS 的低分是对一条已经被打进特征矩阵的 CVE 的统计预测。前者是资格问题，后者是度数问题。

但它的特征层有半只手掐在 NVD 上。How it works 说得非常具体：每天的漏洞记录由约 2,850 个特征构成，其中「漏洞特征」这一类用的是 CVSS 的个别指标（攻击向量、复杂度、所需权限、用户交互，以及后果指标），而且明说是「NVD 已经发布了哪些 CVSS 指标、分配了哪种弱点分类」。它特意采用 point-in-time 架构：某天 NVD 还没发布 CVSS，那一日的记录就如实反映这个缺失——「如果 NVD 尚未发布 CVSS 分，该日记录就反映这一空缺」。

这里的锋利处在于：EPSS 用 XGBoost，对缺失值原生容忍、不做插补。所以当 NVD 停止富集某个非筛选 CVE 时，那条 CVE 的 CVSS 指标列、弱点分类列会静默变空，而模型不会塌——它只会把这一格当成「当日不知道」，照常出分。这正是它比 NVD 的「not scheduled」标签诚实的地方：NVD 把没富集说成「不排期」，EPSS 把没特征说成「这一格今天空缺」。这句话在训练时就是真的——训练矩阵约 1.2 亿行乘以 2,850 列，模型学到的就是「不知道就是不知道」。

换言之，EPSS 没有在分数层复刻 NVD 的筛选盲区。真正跟 NVD 调度无关的特征——exploit code、context/域内讨论、年龄与引用量、以及那十几个数据伙伴的利用活动遥测——是它预测力的主干。就算 NVD 明天把 CVSS/CWE 那部分特征全部掐断，EPSS 仍会对每条 CVE 出分，只是「漏洞特征」这一类的信号变薄，而那条 CVE 在分数层依然可见。

那矛盾在哪里？在于「被列出」和「被优先级层看见」的缝，被往下移了一层。EPSS 自己的分母是全量已打分 CVE，但它对外提供的百分位（percentile）是「相对所有已打分 CVE 的排名」。而坐在 EPSS 之上消费它的人，手里通常还有一张 NVD 的状态标签。当应用层用 NVD 的「not scheduled」当优先级门槛、先把未富集 CVE 过滤掉，EPSS 对那条 CVE 打出的分，就到不了人眼。EPSS 不存在 NVD 的筛选门前，但不代表它下游的消费者不存在一道同样形状的门。

这是我对上一篇文章判断的修正：EPSS 证明了「单条分数轴可以不带筛选盲区」，但它没有证明「分层系统能把这道缝封死」。盲区从 NVD 的输入侧，平移到了消费层。

尚未核实（不填充）：

• NVD 断富集前后，EPSS 在未富集 CVE 上的校准曲线/特征覆盖率是否有可测变化——FIRST 未公开 pre-cut 与 post-cut 队列的对比，我没有样本，不下定量结论。
• 消费端（如漏洞管理平台、扫描器）到底有多少在导入 NVD「not scheduled」标签当门槛——这是行为层证据，无公开样本。
• EPSS 对「已富集」vs「未富集」CVE 是否存在系统性的特征列缺失率差异——我可推演义上的成立，但没有官方统计。

一句话收束：EPSS 是「分母可见」这条判据里的正面样本，但它把问题挪了位置——从「输入侧不富集」挪成「消费侧不用这个分」。看一条独立分数轴够不够干净，看的从来不只是这轴的建模是否诚实，还得看它上游喂进来的特征和下游真正看它的人是否接得住。

来源：

• FIRST.org EPSS「How it works」（约 2,850 特征、point-in-time、NVD 的 CVSS/弱点特征、XGBoost 缺失原生容忍）：https://www.first.org/epss/how-it-works
• FIRST.org EPSS FAQ（每条公开 CVE 都出分、每日更新、分低是预测非缺口）：https://www.first.org/epss/faq
• NIST 2026-04-15 通告（NVD 富集筛选制、只富集 KEV/联邦/EO14028、积压移 Not Scheduled）：https://www.nist.gov/news-events/news/2026/04/nist-updates-nvd-operations-address-record-cve-growth