論文の概要: Beyond Compliance: A Large Scale Study on the Completeness and Consistency of the GitHub SBOMs

• arxiv url: http://arxiv.org/abs/2607.04614v1
• Date: Mon, 06 Jul 2026 02:44:52 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-07 22:26:30.01524
• Title: Beyond Compliance: A Large Scale Study on the Completeness and Consistency of the GitHub SBOMs
• Title（参考訳）: コンプライアンスを超えて - GitHub SBOMの完全性と一貫性に関する大規模な調査
• Abstract要約: 10のプログラミング言語エコシステムにわたる1万のGitHubリポジトリを大規模に分析します。 GitHub SBOMにはNTIA準拠の欠如がありますが、コアメタデータは一貫して存在しています。 また、コンポーネントのバージョンとライセンス情報の可用性は、プログラミングエコシステムに大きく依存していることも分かりました。
• 参考スコア（独自算出の注目度）: 1.068768727414769
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Modern software development relies heavily on open-source components. Reusing components accelerates innovation but increases exposure to supply-chain attacks exploiting known vulnerabilities. Software Bills of Materials (SBOMs) improve software supply chain transparency by enumerating components, their versions, and their provenance. GitHub, the largest open-source development hosting platform, now automatically generates SBOMs for repositories, providing valuable metadata for risk assessment. Yet, it is unclear whether GitHub SBOMs can serve as a reliable source for vulnerability and license analysis, and how incomplete or inconsistent metadata may affect different programming ecosystems. To address this, we conduct a large-scale analysis of 10,000 GitHub repositories across ten programming language ecosystems, evaluating GitHub SBOMs against three other popular SBOM generators: Syft, Trivy, and the Microsoft SBOM Tool. Our study finds a lack of NTIA compliance in GitHub SBOMs, though core metadata is consistently present. We also find that component version and license information availability is highly dependent on the programming ecosystem. Compared with the other three tools, GitHub yields results similar to the Microsoft SBOM Tool and often outperforms Syft and Trivy in providing version and license information. Finally, we discuss potential shortcomings of the GitHub SBOM Tool, directly related to how each ecosystem manages its dependencies.
• Abstract（参考訳）: 現代のソフトウェア開発はオープンソースコンポーネントに大きく依存している。 再利用コンポーネントはイノベーションを加速するが、既知の脆弱性を利用するサプライチェーン攻撃への露出を増加させる。 Software Bills of Materials (SBOMs)は、コンポーネント、そのバージョン、およびそれらの証明を列挙することによって、ソフトウェアサプライチェーンの透明性を改善する。 最大のオープンソース開発ホスティングプラットフォームであるGitHubは、リポジトリ用のSBOMを自動的に生成し、リスク評価のための貴重なメタデータを提供する。 しかし、GitHub SBOMsが脆弱性とライセンス分析の信頼できるソースになるかどうか、また、不完全なメタデータや一貫性のないメタデータが、異なるプログラミングエコシステムにどのように影響するかは不明だ。 これを解決するために、私たちは10のプログラミング言語エコシステムにわたる1万のGitHubリポジトリを大規模に分析し、GitHub SBOMをSyft、Trivy、Microsoft SBOMツールという他の3つの人気のあるSBOMジェネレータと比較しました。 コアメタデータは一貫して存在するが,GitHub SBOMにはNTIA準拠が欠如していることが本研究で確認されている。 また、コンポーネントのバージョンとライセンス情報の可用性は、プログラミングエコシステムに大きく依存していることもわかりました。 他の3つのツールと比較すると、GitHubはMicrosoft SBOMツールと同様の結果をもたらし、バージョンとライセンス情報の提供においてSyftとTrivyを上回っている。 最後に、各エコシステムが依存関係を管理する方法に直接関係しているGitHub SBOMツールの潜在的な欠点について論じる。

関連論文リスト

• SCDBench: A Benchmark for LLM-Based Smart Contract Decompilers [55.39407031861402]
  本稿では,スマートコントラクトデコンパイルのためのデータセットとベンチマーク手法であるSCDBenchを紹介する。 データセットには600の現実のSolidityコントラクトと、ペア化されたバイトコード入力、地味なソースコード、再生可能なセマンティックチェックポイントが含まれている。 我々は,GLM-5の変種を含むゼロショット逆コンパイル設定において,Claude Opus 4.7,GPT-5.3-Codex,GLM-5を評価した。
  論文  参考訳（メタデータ） (2026-05-27T20:08:47Z)
• What's Inside a GitHub Repository? An Empirical Study on the Contents of 10K Projects [1.439946676159516]
  本稿では,実世界のGitHubの内容をよりよく理解するために,最初の経験的分析を提案する。 私たちは、10万のGitHubリポジトリに存在するファイル、ディレクトリ、エクステンション、および10年間の進化を分析します。
  論文  参考訳（メタデータ） (2026-05-15T23:30:44Z)
• Weaponizing the Commons: A Taxonomy and Detection Framework of Abuse on GitHub [31.618034402766018]
  GitHubは現代のソフトウェアサプライチェーンにおいて重要な役割を担っており、セキュリティが重要な研究課題となっている。 既存の研究は主にCI/CD自動化、コラボレーションパターン、コミュニティ管理に重点を置いている。 本稿では,GitHubの悪用行為の報告を体系的にレビューし,要約し,公的な乱用事例の実証分析を行う。 本研究は,ソフトウェアセキュリティの観点から,その多様な症状と根本原因を特徴付ける包括的分類法を提案する。
  論文  参考訳（メタデータ） (2026-04-20T07:37:03Z)
• A Large Scale Empirical Analysis on the Adherence Gap between Standards and Tools in SBOM [54.38424417079265]
  ソフトウェア・ビル・オブ・マテリアル(Software Bill of Materials, SBOM)は、ソフトウェア情報を整理する機械読み取り可能なアーティファクトである。 標準に従って、組織はSBOMの生成と利用のためのツールを開発した。 本稿では,我々の自動評価フレームワークであるSAPを用いて,接着ギャップの大規模2段階解析を行った。
  論文  参考訳（メタデータ） (2026-01-09T08:26:05Z)
• Trace: Securing Smart Contract Repository Against Access Control Vulnerability [58.02691083789239]
  GitHubはソースコード、ドキュメント、設定ファイルを含む多数のスマートコントラクトリポジトリをホストしている。 サードパーティの開発者は、カスタム開発中にこれらのリポジトリからコードを参照、再利用、フォークすることが多い。 スマートコントラクトの脆弱性を検出する既存のツールは、複雑なリポジトリを扱う能力に制限されている。
  論文  参考訳（メタデータ） (2025-10-22T05:18:28Z)
• Policy-driven Software Bill of Materials on GitHub: An Empirical Study [14.398115591070727]
  ソフトウェア・ビル・オブ・マテリアル(Software Bill of Materials、SBOM)は、ソフトウェアに含まれるすべてのソフトウェア依存関係の機械可読リストである。 政府がSBOMを使用する義務があるにもかかわらず、このアーティファクトの研究はまだ初期段階にある。
  論文  参考訳（メタデータ） (2025-09-01T08:45:39Z)
• SwingArena: Competitive Programming Arena for Long-context GitHub Issue Solving [90.32201622392137]
  We present SwingArena, a competitive evaluation framework for Large Language Models (LLMs)。 従来の静的ベンチマークとは異なり、SwingArenaはLLMをイテレーションとして組み合わせて、テストケースを作成し、継続的インテグレーション(CI)パイプラインを通じてパッチを検証するパッチとレビュアーを生成することで、ソフトウェアのコラボレーションプロセスをモデル化する。
  論文  参考訳（メタデータ） (2025-05-29T18:28:02Z)
• SWE-Fixer: Training Open-Source LLMs for Effective and Efficient GitHub Issue Resolution [56.9361004704428]
  大規模言語モデル(LLM)は、様々な複雑なタスクにまたがる顕著な習熟度を示している。 SWE-Fixerは、GitHubの問題を効果的かつ効率的に解決するために設計された、新しいオープンソースフレームワークである。 我々は,SWE-Bench LiteとVerifiedベンチマークに対するアプローチを評価し,オープンソースモデル間の競合性能を実現する。
  論文  参考訳（メタデータ） (2025-01-09T07:54:24Z)
• SBOM Generation Tools in the Python Ecosystem: an In-Detail Analysis [2.828503885204035]
  我々はCycloneDX標準を用いて4つの人気のあるSBOM生成ツールを分析する。 依存関係のバージョン、メタデータファイル、リモート依存関係、オプションの依存関係に関する問題を強調します。 PyPIエコシステムにおけるメタデータの標準の欠如による体系的な問題を特定する。
  論文  参考訳（メタデータ） (2024-09-02T12:48:10Z)
• Alibaba LingmaAgent: Improving Automated Issue Resolution via Comprehensive Repository Exploration [64.19431011897515]
  本稿では,問題解決のためにソフトウェアリポジトリ全体を包括的に理解し,活用するために設計された,新しいソフトウェアエンジニアリング手法であるAlibaba LingmaAgentを提案する。 提案手法では,重要なリポジトリ情報を知識グラフに凝縮し,複雑さを低減し,モンテカルロ木探索に基づく戦略を採用する。 Alibaba Cloudの製品展開と評価において、LingmaAgentは、開発エンジニアが直面した社内問題の16.9%を自動で解決し、手作業による介入で43.3%の問題を解決した。
  論文  参考訳（メタデータ） (2024-06-03T15:20:06Z)
• MAGIS: LLM-Based Multi-Agent Framework for GitHub Issue Resolution [47.850418420195304]
  大規模言語モデル(LLM)はコード生成において有望であるが、GitHubの問題を解決する上で困難に直面している。 ソフトウェア進化のためにカスタマイズされた4つのエージェントからなる、GitHub Issue Resolution, MAGISのための新しいMulti-Agentフレームワークを提案する。
  論文  参考訳（メタデータ） (2024-03-26T17:57:57Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)
• GitRank: A Framework to Rank GitHub Repositories [0.0]
  オープンソースリポジトリは豊富な情報を提供し、人工知能(AI)ベースのシステムの構築にますます利用されている。 このハッカソンでは、既知のコード品質測定とGrimoireLabツールキットを使用して、GitRankという名前のフレームワークを実装し、オープンソースのリポジトリを3つの異なる基準でランク付けします。
  論文  参考訳（メタデータ） (2022-05-04T23:42:30Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。