論文の概要: File-Level Copying Is an Implicit Dependency in Open Source
- arxiv url: http://arxiv.org/abs/2607.02059v1
- Date: Thu, 02 Jul 2026 11:37:59 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-03 19:45:08.817382
- Title: File-Level Copying Is an Implicit Dependency in Open Source
- Title（参考訳）: ファイルレベルのコピーはオープンソースに欠かせない依存性
- Abstract要約: リポジトリ間でファイルをコピーすると、パッケージマネージャが宣言された依存性を提供する4つの可観測性信号が削除される。
0.1%のコミットサンプルから、690,500のコピーイベントを抽出し、3,912の合理的なコピーコミットをインテントラベリングのために保持する。
ベンダー依存,ハードウェア/ドライバ同期,スキャフォールディング,UIアセット,直接的なソースコード再利用など,13軸のコピー形式は,開発者の意図に対する信頼性の低いプロキシであることを示す。
- 参考スコア（独自算出の注目度）: 13.844153992502159
- License: http://creativecommons.org/licenses/by-sa/4.0/
- Abstract: File-level copying is a widespread but ungoverned form of software reuse. Copying files across repositories reduces supply-chain visibility: it removes the four observable signals a package manager provides for a declared dependency (provenance, maintenance, security, and compliance) with no mechanism to restore them. To characterize the scale and consequences of this unmanaged reuse, we present a mixed-method study of copying across the entire open-source ecosystem using World of Code (WoC). From a 0.1% commit sample, we extract 690,500 copy events and retain 3,912 rationale-bearing copy commits for intent labeling. We show that the 13 axial copy forms, spanning vendored dependencies, hardware/driver synchronization, scaffolding, UI assets, and direct source-code reuse, are unreliable proxies for developer intent: among rationale-bearing commits, hardware/driver copies are predominantly fork-maintenance work (78%), while dependency-vendoring copies more often signal upstream bypass (70%) than offline availability. These visibility gaps are form-specific: security and license risk concentrate in complementary copy forms. Copied sources are frequently stale (median 155 days; 38.5% over one year old) and seldom record a recoverable origin (4.3% documented), let alone a checkable version (2.0% versioned); even vendored copies record where they came from only 10% of the time. Security risk concentrates in vendored dependencies: 17,314 CVE-risk copy commits in the full-WoC graph, 88% in the dependency-vendoring form; 80% score CVSS >= 7.0 and upstream-fix adoption is only 47%-84%. License risk concentrates in direct source-code reuse: 41,777 pre-validation candidates, 66% in the source-code form, with 39 verified high-star violations (kappa = 0.752). Both risks reach packaged software and are invisible to dependency scanners operating on declared metadata alone.
- Abstract（参考訳）: ファイルレベルのコピーは広く使われているが、ソフトウェア再利用の未使用形式である。
リポジトリを横断するファイルのコピーはサプライチェーンの可視性を低下させる。パッケージマネージャが宣言された依存性(パフォーマンス、メンテナンス、セキュリティ、コンプライアンス)を提供する4つの可観測的なシグナルを復元する。
このアンマネージドな再利用の規模と成果を特徴付けるため、World of Code (WoC) を用いてオープンソースエコシステム全体にわたってコピーを行うための混合手法の研究を行った。
0.1%のコミットサンプルから、690,500のコピーイベントを抽出し、3,912の合理的なコピーコミットをインテントラベリングのために保持する。
13軸のコピー形式は、ベンダー依存、ハードウェア/ドライバ同期、スキャフォールディング、UIアセット、直接ソースコードの再利用など、開発者の意図に対する信頼性の低いプロキシであることが示されています。
セキュリティとライセンスのリスクは、補完的なコピー形式に集中します。
コピーされた資料は、しばしば安定している(155日、38.5%が1歳以上)、回復可能な原点(4.3%が文書化)をほとんど記録していない。
セキュリティリスクはベンダ依存に集中している。フルWoCグラフの17,314のCVEリスクコピーコミット、依存性ベンダ形式の88%、スコアCVSS >= 7.0、アップストリーム修正の採用率はわずか47%-84%である。
ライセンスリスクは、直接のソースコード再利用に集中している:41,777人の事前検証候補、ソースコードの66%、39のハイスター違反(kappa = 0.752)。
どちらのリスクもパッケージ化されたソフトウェアに到達し、宣言されたメタデータのみで動作する依存関係スキャナには見えない。
関連論文リスト
- AcquireBound: Runtime Authorization for Resources Acquired by AI Agents [0.0]
充足後のアクティベーションギャップは、ツールによる作成、エージェント間デリゲート、エージェントコマースにまたがる。
本稿では,AcquireBoundについて紹介する。
検疫,バック,非増幅,非回避分割,クラッシュ/リトライ,返金,エポック,エフェクトの8つの安全性特性を実証する。
論文 参考訳（メタデータ） (2026-09-13T19:16:44Z) - Scanning the Harness: An Empirical Study of Supply-Chain Defects in AI Coding-Agent Configurations [0.0]
Claude Code、Cursor、GitHub Copilot、OpenAI CodexといったAIコーディングエージェントは、開発者が書いて共有するアーティファクトによって構成されている。
このハーネスは、マーケットプレースとパブリックリポジトリからインストールされた依存性レイヤで、開発者の権限で実行される。
2つ以上のコンポーネントタイプを組み立てる2,660のセットアップと、511の公開されたスキルコレクションです。
論文 参考訳（メタデータ） (2026-09-07T11:27:24Z) - Ensuring Open Source Integrity: The Intersection of Copy-Based Reuse and License Compliance [11.111309839462814]
コピーベースのコード再利用ネットワークマッピングをプロジェクト間で直接コピーします。
MITやApacheのような寛容なライセンスを持つリポジトリのコードは、再利用の可能性が高くなっています。
パブリックドメインライセンスは、制限のない使用を可能にすることを目的としているが、コピーベースの再利用の可能性が低い。
論文 参考訳（メタデータ） (2026-06-22T15:44:06Z) - Correct Code, Vulnerable Dependencies: A Large Scale Measurement Study of LLM-Specified Library Versions [52.50730821321986]
大規模言語モデル(LLM)におけるバージョンレベルのリスクの大規模評価を初めて行った。
我々は1000のStack OverflowプログラミングタスクのベンチマークであるPinTrace上で10のLLMを評価した。
LLM バージョン選択は LLM ベース開発における第1級, 以前は見落とされたリスクサーフェスとして確認された。
論文 参考訳（メタデータ） (2026-05-07T13:52:59Z) - Constraint-Guided Multi-Agent Decompilation for Executable Binary Recovery [47.704311990064554]
脱コンパイルは、セキュリティ分析、マルウェアのリバースエンジニアリング、レガシーソフトウェアメンテナンスに不可欠である。
マルチレベル制約誘導型デコンパイル(MCGD)により,デコンパイルされたコードを再実行可能なソースに変換するマルチエージェントフレームワークを提案する。
本フレームワークは,84～97%の再実行性を実現し,28～89ポイントのベースラインデコンパイラ出力を改善した。
論文 参考訳（メタデータ） (2026-04-27T01:28:11Z) - What Papers Don't Tell You: Recovering Tacit Knowledge for Automated Paper Reproduction [57.86097956633207]
Methodは、学術論文から実行可能なコードを生成するグラフベースのエージェントフレームワークである。
3つのドメイン、10のタスク、10の最近の論文にまたがる拡張ReproduceBenchでは、公式実装に対する平均的なパフォーマンスギャップが10.04%に達する。
論文 参考訳（メタデータ） (2026-03-02T12:33:31Z) - Permissive-Washing in the Open AI Supply Chain: A Large-Scale Audit of License Integrity [12.206378714907075]
MIT、Apache-2.0、BSD-3-Clauseといった寛容なライセンスがオープンソースAIを支配している。
寛容な洗浄: AIアーティファクトを自由に使用可能なラベルにすること。
私たちは、Hugging FaceとGitHubで3,338のデータセット、6,664のモデル、28,516のアプリケーションにまたがる、124,278のデータセット$rightarrow$ model $rightarrow$アプリケーションサプライチェーンを監査します。
論文 参考訳（メタデータ） (2026-02-09T15:51:36Z) - Anchored Decoding: Provably Reducing Copyright Risk for Any Language Model [99.16364381244445]
現代の言語モデル(LM)は、トレーニングデータの一部を記憶し、動詞のスパンを出力する傾向がある。
提案するAnchored Decodingは,動詞の模倣を抑えるためのプラグアンドプレイ推論時間法である。
本手法は,著作権リスクとユーティリティの長期評価において,6組のモデルペアで評価する。
論文 参考訳（メタデータ） (2026-02-06T19:00:14Z) - Trace: Securing Smart Contract Repository Against Access Control Vulnerability [58.02691083789239]
GitHubはソースコード、ドキュメント、設定ファイルを含む多数のスマートコントラクトリポジトリをホストしている。
サードパーティの開発者は、カスタム開発中にこれらのリポジトリからコードを参照、再利用、フォークすることが多い。
スマートコントラクトの脆弱性を検出する既存のツールは、複雑なリポジトリを扱う能力に制限されている。
論文 参考訳（メタデータ） (2025-10-22T05:18:28Z) - CopyBench: Measuring Literal and Non-Literal Reproduction of Copyright-Protected Text in Language Model Generation [132.00910067533982]
LM世代におけるリテラルコピーと非リテラルコピーの両方を測定するために設計されたベンチマークであるCopyBenchを紹介する。
リテラル複写は比較的稀であるが、イベント複写と文字複写という2種類の非リテラル複写は、7Bパラメータのモデルでも発生する。
論文 参考訳（メタデータ） (2024-07-09T17:58:18Z) - Dataset: Copy-based Reuse in Open Source Software [5.917654223291073]
オープンソースソフトウェアでは、ソースコードやその他のプロジェクトで利用可能なリソースは、しばしば寛容なライセンス制限を受ける人なら誰でも閲覧または再利用することができる。
このデータセットは、OSS全体の再利用をほぼすべてのOSSでキャプチャするコピーアクティビティデータを提供することで、OSS全体のコピーベースの再利用の研究を促進することを目指している。
論文 参考訳（メタデータ） (2023-12-14T22:08:09Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。