Ce qui bloque l’expédition : une exposition accessible, non corrigée et pertinente en premier lieu.

L'ensemble de travail

Sept résultats entrent dans l’ensemble de travail dans l’écran ci-dessous. One bloque : il est accessible et non fixé. Les six autres ne sont pas corrigés mais ne sont pas accessibles – ils restent dans l’ensemble, classés plus bas, jamais cachés.

Deux classements, un ensemble de données

Le même ensemble de travail sert deux tâches. Basculer entre eux modifie le tri vers le haut : rien n'entre ni ne sort.

D'où vient la preuve

L'analyse statique produit le verdict à chaque scan. Les symboles binaires et les faits d'exécution ajoutent de la profondeur quand vous le souhaitez. CVE?Common Vulnerabilities and Exposures – un identifiant unique pour une vulnérabilité de sécurité publiquement connue

Inconnus en tant qu'état de première classe

Lorsque l'analyse ne peut pas déterminer l'atteignabilité, l'incertitude est suivie explicitement, et non cachée ou supposée sûre.

Où les instructions VEX entrent

Les déclarations VEX des émetteurs rejoignent le même graphe de preuves, normalisées en cinq statuts — not_affected, affected, fixed, under_investigation, unknown — de sorte que « en cours d’investigation » est un état avec des conséquences, pas une note de bas de page. VEX?Vulnerability Exploitability eXchange – déclarations lisibles par machine indiquant si les vulnérabilités sont réellement exploitables dans votre contexte

Plusieurs émetteurs peuvent parler du même composant. Lorsqu'ils ne sont pas d'accord, la résolution des conflits enregistre le désaccord comme un conflit : rien n'est calculé en moyenne et aucun émetteur ne gagne en silence.

Comment les preuves SBOM et VEX sont fusionnées →

KEV et EPSS participent – ​​ils ne décident pas

Les listes CISA KEV et les scores EPSS sont des signaux d’exploitation de niveau consultatif. Ils augmentent le rang et l'urgence d'une découverte au sein de l'ensemble de travail. KEV?Known Exploited Vulnerabilities – catalogue de CISA des vulnérabilités activement exploitées EPSS?Exploit Prediction Scoring System – un score de probabilité (0–100 %) prédisant la probabilité qu'une vulnérabilité soit exploitée

Exploit signals attach at the advisory level, not at the finding level. Open a CVE?Common Vulnerabilities and Exposures – un identifiant unique pour une vulnérabilité de sécurité publiquement connue to read its advisory-level exploit data: the KEV?Known Exploited Vulnerabilities – catalogue de CISA des vulnérabilités activement exploitées listing and the EPSS?Exploit Prediction Scoring System – un score de probabilité (0–100 %) prédisant la probabilité qu'une vulnérabilité soit exploitée score belong to the advisory, and they read the same for every service that carries the affected component.

Par rapport à un scanner en CI

Un scanner répond « ce qu'il y a dans cette image en ce moment ». Nécessaire — et pas suffisant pour une décision de mise en liberté.

Comparaisons complètes : Stella Ops contre Trivy | Stella Ops contre Grype

Mesuré contre une vérité de référence publiée

Le classifieur d'atteignabilité est mesuré contre un corpus étiqueté livré dans l'arbre source public : huit services minimaux en Java, Node.js, Python, Go, .NET, Ruby, Rust et PHP, chacun avec un fichier d'étiquettes indiquant, par CVE, le niveau attendu — de R0, non atteignable dans ce service, à R4, atteignable depuis le point d'entrée — et sa justification.

Le même arbre contient le harnais qui note les classifications par niveau — précision et rappel, pas un chiffre unique mélangé. Le corpus, les étiquettes et le contrat de niveaux étant publics, vous n'avez pas à croire notre lecture : scannez la même vérité de référence avec votre propre installation et comparez ce qu'elle rapporte aux réponses attendues publiées.