EPSS: un percentil 90 no significa un 90 % de probabilidad de explotación
FIRST ofrece una probabilidad y una posición relativa para cada vulnerabilidad evaluada. Confundir ambas puede deformar la lectura de una alerta.
Una alerta que muestra un percentil elevado de EPSS no está diciendo necesariamente que exista una probabilidad de explotación igual a ese porcentaje. FIRST, responsable del sistema, separa la salida probabilística del modelo de su posición dentro del conjunto de vulnerabilidades puntuadas.
La probabilidad se expresa entre cero y uno y estima que se observe explotación de una vulnerabilidad en condiciones reales durante los próximos 30 días. El percentil ordena esa puntuación frente a las demás. Son dos lecturas de la misma evaluación, no dos predicciones que puedan intercambiarse sin más.
Imaginemos una ficha ficticia con probabilidad 0,08 y percentil 0,90. La primera cifra equivale al 8 %. La segunda coloca la puntuación por encima de la del 90 % de las vulnerabilidades evaluadas. No eleva automáticamente la primera cifra al 90 %, ni demuestra que un dispositivo particular vaya a sufrir un ataque.
Este ejemplo no corresponde a una CVE real y no fija un umbral para decidir qué corregir. Para trasladar una alerta a un inventario concreto todavía habría que identificar el producto afectado, la versión instalada y su exposición. Una posición alta en una lista no aporta esos datos sobre los equipos del lector.
FIRST recalcula EPSS cada día con nueva información. Por eso, al citar una puntuación, interesa conservar su fecha y las etiquetas de cada campo. Una captura sin fecha puede mantener una cifra antigua, y un titular que elimina la palabra percentil puede convertir una clasificación relativa en una probabilidad que el modelo no ha dado.