PatchRisk 论文提出基于时序图特征的开源依赖未来漏洞暴露预测方法

该研究针对开源软件供应链中下游包因传递性依赖在未来收到漏洞通告的风险，提出了 PatchRisk 基准与预测模型。不同于现有工作仅关注当前已知漏洞，该任务旨在根据发布时的依赖图预测非根依赖在特定时间窗口内是否会出现漏洞通告。作者构建了包含 npm 和 PyPI 数据的防泄漏基准，采用包级不重叠评估、时序测试及嵌套采样策略，确保训练集与测试集无数据泄露。

在 10K 规模时序测试基准上，引入历史信息的 HistoryGraph 特征族表现显著优于仅用时间的 TimeOnly 基线：90 天预测的 AUPRC 从 0.351 提升至 0.640，365 天预测则从 0.473 提升至 0.813。这一提升在更小的采样规模及包组打乱鲁棒性测试中保持稳定。事实层面，该模型证明了利用依赖图结构与历史信息能有效捕捉潜在风险模式；推断层面，这意味着主动依赖治理可提前识别高风险传递路径；猜测层面，若将此类机制集成至 CI/CD 或包管理器，可能改变现有的被动响应式安全流程。

需要区分的是，文中提到的“未来”指代的是相对于观察时间点的时间窗口（如 90 天或 365 天），而非绝对的未来年份。此外，虽然模型效果提升明显，但这是基于特定数据集的离线评估结果，实际部署中的误报率与运维成本仍需进一步验证。