論文の概要: Uncovering Similar but Different Packages in PyPI and Potential Security Threats
- arxiv url: http://arxiv.org/abs/2606.29785v1
- Date: Mon, 29 Jun 2026 05:05:02 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-06-30 18:07:16.055796
- Title: Uncovering Similar but Different Packages in PyPI and Potential Security Threats
- Title（参考訳）: PyPIと潜在的なセキュリティ脅威に類似しているが異なるパッケージが発見される
- Abstract要約: PyPIのパッケージ複製について,大規模かつ詳細な研究を行った。
複製パッケージの特徴と潜在的な脅威について検討する。
PyPIのパッケージ複製に関する3つの重要な知見が得られた。
- 参考スコア（独自算出の注目度）: 3.372200852710289
- License: http://creativecommons.org/licenses/by-nc-sa/4.0/
- Abstract: In this study, we present a large-scale, in-depth study of package replication in PyPI. As a vital platform, PyPI streamlines Python package distribution for developers. However, beyond small-scale code cloning, we observe that many replicated packages exist on PyPI, which duplicate most of the codebase from existing packages. Such replication not only confuses developers but also propagates known vulnerabilities and enables the creation of new malicious packages. To address this issue, we comprehensively examine the characteristics and potential threats of replicated packages. Using one-third of the entire PyPI repository (200K packages), we investigate replication from three perspectives: replication of popular packages, vulnerable packages, and malicious packages. Our experiments reveal three critical findings about package replication in PyPI: (1) by identifying 1,361 replicated packages of the top 3K popular projects, we show that replication frequently redistributes substantial portions of existing packages under different maintainers; (2) by uncovering 256 previously unknown replicated vulnerable packages, we demonstrate that replication creates vulnerability blind spots that current detection tools rarely catch; (3) by analyzing 3,883 known malicious packages, we found that 186 (4.79%) replicated popular ones, and this pattern further led us to identify seven previously unknown replicated malicious packages, highlighting its role as an attack vector for malware distribution through minor modifications and code injection.
- Abstract（参考訳）: 本研究では,PyPIのパッケージ複製について,大規模かつ詳細な研究を行った。
重要なプラットフォームとして、PyPIはPythonパッケージの配布を効率化する。
しかし、小規模なコードクローン以外にも、多くの複製済みパッケージが既存のパッケージからコードベースの大部分を複製するPyPI上に存在していることが観察されている。
このようなレプリケーションは、開発者を混乱させるだけでなく、既知の脆弱性を伝播させ、新しい悪意のあるパッケージの作成を可能にする。
この問題に対処するため,複製パッケージの特性と潜在的な脅威を包括的に検討した。
PyPIレポジトリ全体の3分の1(200Kパッケージ)を使用して、人気のあるパッケージのレプリケーション、脆弱性のあるパッケージ、悪意のあるパッケージの3つの観点からレプリケーションを調査します。
実験では,PyPIのパッケージ複製について,(1)トップ3K人気プロジェクトの1,361個の複製パッケージを識別することにより,複製が既存パッケージのかなりの部分を異なるメンテナの下で再配布すること,(2) 256個の既知の複製された脆弱性パッケージを発見できること,(3) 既知の悪質パッケージ3,883個を解析した結果,186個(4.79%)が人気パッケージを複製したこと,さらにこのパターンが,マルウェア配布の攻撃ベクターとしての役割を軽微な修正やコードインジェクションによって強調すること,の3つが明らかになった。
関連論文リスト
- The Range Shrinks, the Threat Remains: Re-evaluating LLM Package Hallucinations on the 2026 Frontier-Model Cohort [51.56484100374058]
Spracklenらは、コード生成された大きな言語モデルは、PyPIやnpmに存在しないパッケージ名を幻覚させることを示した。
199,845対のPythonとJavaScriptプロンプトの幻覚率を測定し、PyPIとnpmマスターリストに対して検証した。
127個のパッケージ名(PyPIは109個,npmは18個)を5つの評価モデルで同一に作成する。
論文 参考訳（メタデータ） (2026-05-16T16:08:52Z) - Why Authors and Maintainers Link (or Don't Link) Their PyPI Libraries to Code Repositories and Donation Platforms [83.16077040470975]
Python Package Index(PyPI)上のライブラリのメタデータは、オープンソースライブラリの透明性、信頼性、持続性をサポートする上で重要な役割を果たす。
本稿は,5万PyPIの著者とメンテナに送付された2つの対象調査を組み合わせた大規模実証研究である。
我々は,大規模言語モデル(LLM)に基づくトピックモデリングを用いて1,400以上の応答を分析し,リポジトリと寄付プラットフォームのリンクに関連する重要なモチベーションと障壁を明らかにする。
論文 参考訳（メタデータ） (2026-01-21T16:13:57Z) - One Detector Fits All: Robust and Adaptive Detection of Malicious Packages from PyPI to Enterprises [10.03632278118504]
PyPIのようなパブリックリポジトリとエンタープライズエコシステムの両方にシームレスに統合可能な堅牢な検出器を導入します。
強靭性を確保するために, きめ細かいコード難読化を用いた逆パッケージ生成手法を提案する。
私たちの検出器は、PyPIのようなパブリックリポジトリとエンタープライズエコシステムの両方にシームレスに統合することができ、偽陽性をレビューするために数分の非常に低い予算を確保できます。
論文 参考訳（メタデータ） (2025-12-03T23:53:56Z) - PyPitfall: Dependency Chaos and Software Supply Chain Vulnerabilities in Python [1.2644387713029346]
本稿では、PyPIエコシステム全体にわたる脆弱な依存関係の定量的解析であるPyPitfallを紹介する。
我々は,378,573個のPyPIパッケージの依存関係構造を分析し,少なくとも1つの既知の拡張可能なバージョンを必要とする4,655個のパッケージを特定した。
我々は,Pythonソフトウェアサプライチェーンのセキュリティに対する認識を高めることを目的としている。
論文 参考訳（メタデータ） (2025-07-24T03:58:18Z) - PyPulse: A Python Library for Biosignal Imputation [58.35269251730328]
PyPulseは,臨床およびウェアラブルの両方のセンサ設定において生体信号の計算を行うPythonパッケージである。
PyPulseのフレームワークは、非機械学習バイオリサーバーを含む幅広いユーザーベースに対して、使い勝手の良いモジュラーで拡張可能なフレームワークを提供する。
PyPulseはMITライセンスでGithubとPyPIでリリースしました。
論文 参考訳（メタデータ） (2024-12-09T11:00:55Z) - Malicious Package Detection using Metadata Information [0.272760415353533]
本稿では,メタデータに基づく悪意のあるパッケージ検出モデルであるMeMPtecを紹介する。
MeMPtecはパッケージメタデータ情報から一連の機能を抽出する。
実験の結果,偽陽性と偽陰性の両方が有意な減少を示した。
論文 参考訳（メタデータ） (2024-02-12T06:54:57Z) - On the Feasibility of Cross-Language Detection of Malicious Packages in
npm and PyPI [6.935278888313423]
悪意のあるユーザは悪意のあるコードを含むオープンソースパッケージを公開することでマルウェアを拡散し始めた。
最近の研究は、npmエコシステム内の悪意あるパッケージを検出するために機械学習技術を適用している。
言語に依存しない一連の特徴と,npm と PyPI の悪意あるパッケージを検出可能なモデルのトレーニングを含む,新しいアプローチを提案する。
論文 参考訳（メタデータ） (2023-10-14T12:32:51Z) - Killing Two Birds with One Stone: Malicious Package Detection in NPM and PyPI using a Single Model of Malicious Behavior Sequence [8.58275522939837]
パッケージレジストリ NPM と PyPI は悪意のあるパッケージで溢れている。
既存の悪意あるNPMとPyPIパッケージ検出アプローチの有効性は、2つの課題によって妨げられている。
我々は,NPMとPyPIの悪意あるパッケージを検出するためにCerebroを提案し,実装する。
論文 参考訳（メタデータ） (2023-09-06T00:58:59Z) - On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。
Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。
検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文 参考訳（メタデータ） (2023-06-08T20:14:46Z) - PyHHMM: A Python Library for Heterogeneous Hidden Markov Models [63.01207205641885]
PyHHMM は Heterogeneous-Hidden Markov Models (HHMM) のオブジェクト指向Python実装である。
PyHHMMは、異種観測モデル、データ推論の欠如、異なるモデルの順序選択基準、半教師付きトレーニングなど、同様のフレームワークではサポートされない機能を強調している。
PyHHMMは、numpy、scipy、scikit-learn、およびシーボーンPythonパッケージに依存しており、Apache-2.0ライセンスの下で配布されている。
論文 参考訳（メタデータ） (2022-01-12T07:32:36Z) - Scikit-dimension: a Python package for intrinsic dimension estimation [58.8599521537]
この技術ノートは、固有次元推定のためのオープンソースのPythonパッケージであるtextttscikit-dimensionを紹介している。
textttscikit-dimensionパッケージは、Scikit-learnアプリケーションプログラミングインターフェイスに基づいて、既知のID推定子のほとんどを均一に実装する。
パッケージを簡潔に記述し、実生活と合成データにおけるID推定手法の大規模(500以上のデータセット)ベンチマークでその使用を実証する。
論文 参考訳（メタデータ） (2021-09-06T16:46:38Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。