[ blog · tutorial ]10 min read

CVE・脆弱性インテリジェンスエージェントを作る：CISA KEV・NVD・EPSS・MITRE ATT&CK を 1 つの API で

Sarah Choy·公開: 2026年6月16日·読了 10 分

どのセキュリティチームも CVE に溺れている。シグナルは深刻度ではない — その脆弱性が実際に悪用されているか、そして悪用される可能性がどれだけ高いかだ。NVD・CISA KEV・EPSS・ATT&CK を融合し「まず何にパッチを当てるべきか」に答えるエージェントの作り方を示す。

要点

• •CVSS の深刻度だけでは過大に数えてしまう：ほとんどの「Critical」CVE は決して悪用されない。本当の優先順位付けには、その上に CISA KEV（既知の悪用）＋ EPSS（悪用される確率）を重ねる必要がある。
• •4 つのソース：NVD（CVE レコード ＋ CVSS）、CISA KEV（実環境での悪用が確認された権威ある一覧）、EPSS（毎日更新される 0〜1 の悪用確率スコア）、MITRE ATT&CK（文脈のための戦術／技術）。
• •API Pick の Cybersecurity Search はこの 4 つすべてを 1 つの POST エンドポイントの裏側で包む — 1 回 10 credits、成功時のみ — だから 4 つのスクレイパーなしで融合済みの脆弱性インテリジェンスが得られる。
• •エージェントのパターン：CVE を引き、KEV 収録の有無を確認し、EPSS スコアを読み、ATT&CK の技術にマッピングし、その上で悪用優先、次に EPSS、最後に CVSS で並べ替える。
• •これはスキャナーではなく検索だ：脆弱性について何が分かっていて何が起こりそうかを教え、人間のトリアージを優先順位付けするためのものであって、自動対応を承認するためのものではない。

深刻度は間違ったソートキーだ

CVSS スコアでパッチを当てる脆弱性プログラムは、忙しいが効果がない。National Vulnerability Database には数万件の High と Critical の CVE が載っているが、その圧倒的多数は決して悪用されない。その一方で、実環境で動く悪用コードを持つ「Medium」がバックログに埋もれている。セキュリティエージェントが答えるべき問いは「これがどれほど悪くなりうるか」ではない — 「今日、まず何にパッチを当てるべきか」だ。

それに答えるには、4 つのデータソースを融合する必要がある。どれも無料で公開されており、それぞれ独自の形式と更新頻度を持つ。

4 つのソース

NVD — CVE レコード

NIST の National Vulnerability Database。CVSS ベクトル、影響を受ける製品（CPE）、参照情報を備えた CVE の正典的な一覧だ。「この脆弱性は何か」のベースラインレイヤー。強み：権威があり網羅的。弱み：CVSS だけでは深刻度を過大に数える。

CISA KEV

Known Exploited Vulnerabilities カタログ — 実環境での悪用が確認された CVE の、CISA による権威ある一覧で、米国連邦機関向けの修復期限付きだ。CVE が KEV に載っていれば、キューを飛び越える。強み：脆弱性管理における単一で最高シグナルのフラグ。

EPSS

FIRST.org の Exploit Prediction Scoring System：CVE が今後 30 日以内に悪用される確率を表す毎日更新の 0〜1 のスコア。「悪用されうる」を「どれだけ可能性が高いか」に変える。強み：実際の攻撃者の挙動に対応する確率的な順位付け。

MITRE ATT&CK

攻撃者の戦術と技術のナレッジベース。脆弱性をそのキルチェーン上の役割にマッピングする。強み：CVE を、検知や対応計画が使える運用上のストーリーに変える。

1 つのエンドポイント、融合されたインテリジェンス

Cybersecurity Search は NVD、CISA KEV、EPSS、MITRE ATT&CK を 1 つの POST エンドポイントの裏側で包む — 1 回 10 credits、成功時のみ。CVE ID か自然言語クエリを渡すと、結果が融合され、LLM 向けに整形済みで返ってくる。ベンダーのアドバイザリには Web Search を、アドバイザリページ全文の取得には Extract を組み合わせよう。

import httpx, os
API, HEADERS = "https://api.apipick.com/v1", {"x-api-key": os.environ["APIPICK_KEY"]}

def vuln_intel(query: str):
    r = httpx.post(f"{API}/search/cybersecurity",
                   headers=HEADERS, json={"query": query})
    r.raise_for_status()
    return r.json()["results"]

# "what should I patch first across NVD + KEV + EPSS + ATT&CK?"
records = vuln_intel("actively exploited Apache and VMware vulnerabilities this month")

# Rank: KEV-listed first, then by EPSS, then CVSS. Feed the ranked,
# cited list to your LLM to summarize the worklist for an analyst.

内製 vs 外注

作れるもの

パッチ優先順位付けアシスタントにとどまらない：スタックに含まれる CVE が悪用一覧に載ったときに通知する毎日の KEV ウォッチエージェント、スキャナーのエクスポートを順位付け済みで引用付きの作業リストに変えるトリアージボット、CVE の ATT&CK 上の含意を平易な言葉で説明するアナリストのコパイロット。パターンは同じ — 融合された検索、悪用優先での順位付け、ソースを添えた統合だ。無料キー（100 credits、カード不要）を取得し、エージェントを向けてみよう。

執筆

Sarah Choy

CEO, API Pick

API Pick の CEO。AI エージェントと LLM ワークフロー向けの本番運用可能な API について執筆。