論文の概要: No Snake Oil: Verifying Python Package Builds

• arxiv url: http://arxiv.org/abs/2607.21888v1
• Date: Fri, 24 Jul 2026 01:31:24 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-27 20:58:57.017391
• Title: No Snake Oil: Verifying Python Package Builds
• Title（参考訳）: No Snake Oil: Pythonパッケージビルドの検証
• Abstract要約: PyPIから12,180の人気のリリースを調査し,バイト単位の同値率は概して低いことがわかった。 正規化関数のカーネルを通してPythonホイールの等価性を確立するツールであるdaleq4pyを提示し、評価する。
• 参考スコア（独自算出の注目度）: 0.5943946551531151
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Python has become the default language for interacting with AI, with packages being distributed through registries like the Python Package Index (PyPI). This creates a need to analyse supply chains comprising such packages. One such analysis is to rebuild packages in order to identify compromised builds injecting malware. Independent rebuilds in hardened environments have the added advantage that they can generate and record provenance in order to increase the trustworthiness of packages. Two tools that are designed to automate such rebuilds and run them at scale are macaron and oss-rebuild. We study 12,180 popular releases from PyPI and find that the byte-for-byte equivalence rate is generally low. We analyse the reasons why they produce different wheels, and find that equivalence between the original and rebuilt wheels can often still be established, preserving most of the guarantees users expect from rebuildable releases. We present and evaluate daleq4py, a tool to establish the equivalence of Python wheels through the kernel of a normalisation function that is based on provenance-preserving datalog rules. Experimental results show that daleq4py substantially expands the set of rebuilds that can be accepted as equivalent. Although only 15.4% of macaron rebuilds and 19.1% of oss-rebuild rebuilds are byte-for-byte identical to the published PyPI wheels, daleq4py establishes wheel equivalence for 60.2% and 78.9% of source-equivalent rebuilds, respectively.
• Abstract（参考訳）: PythonはAIと対話するためのデフォルト言語となり、Python Package Index (PyPI)のようなレジストリを通じてパッケージが配布された。 これにより、そのようなパッケージを構成するサプライチェーンを分析する必要が生じる。 そのような分析の1つは、マルウェアを注入する侵入されたビルドを特定するためにパッケージを再構築することである。 強化された環境における独立した再構築は、パッケージの信頼性を高めるために、前例を生成、記録できるというアドバンテージを付加する。 このような再構築を自動化し、大規模に実行するように設計された2つのツールは、macaronとoss-rebuildである。 PyPIから12,180の人気のリリースを調査し,バイト単位の同値率は概して低いことがわかった。 我々は、彼らが異なる車輪を製造した理由を分析し、元の車輪と再建された車輪の等価性は、しばしば確立され、ユーザーが再使用可能なリリースで期待する保証のほとんどを保っていることを発見した。 本稿では,正規化関数のカーネルを通じてPythonホイールの等価性を確立するツールであるdaleq4pyを紹介し,評価する。 実験の結果、daleq4pyは等価として受け入れられる再構築セットを大幅に拡張している。 マカロンのリビルドの15.4%とオス・リビルドの19.1%はパブリッシュされたPyPIのホイールとバイト単位で同一であるが、daleq4pyはそれぞれ60.2%と78.9%でホイールの等価性を確立している。

関連論文リスト

• SMTpip: Interpreter-Aware SMT-Based Dependency Conflict Resolution for Restoring Python Source-Code Executability [5.10290711045049]
  我々は,Pythonのソースコードアーティファクトの実行性を改善するためのインタプリタ対応環境推論手法であるSMTpipを提案する。 SMTpipは、数百万のパッケージリリースをホストするPython Package Index(PyPI)に格納されたメタデータを使用して、依存性知識グラフを構築する。 オープンソースのPythonプロジェクトからの複数のデータセットに対する実証的な評価は、SMTpipが相当なスピードアップを達成することを示している。
  論文  参考訳（メタデータ） (2026-08-16T18:22:59Z)
• Beyond Source: An Empirical Study of Python Bytecode Security Risks [9.295635962179816]
  Pythonランタイムは、.pycファイル、コンパイル専用モジュール、マーシャリングされたコードオブジェクトを介して直接バイトコードを実行することができる。 1,034,843個の収集されたPyPIアーティファクトの中から,228,578.pycファイルと28,193個のアーティファクトローカルなソースレス.pycファイルを含む,7,388個のバイトコードを含むアーティファクトを同定した。
  論文  参考訳（メタデータ） (2026-08-13T05:54:24Z)
• Taming the Drift: Context-aware Repair of Dockerfile Drift during Software Evolution [52.50730821321986]
  Cadreは、Dockerfileの自動ドリフト修復のためのコンテキスト認識フレームワークである。 CDGは、各Dockerfile命令をファイルレベルとインストラクション間の依存関係にマップする。 DodeXはGitHub Actions CIログから現実のDockerfileドリフトインスタンスをマイニングする。
  論文  参考訳（メタデータ） (2026-07-14T09:12:26Z)
• Breaking the Dependency Chaos: A Constraint-Driven Python Dependency Resolution Strategy with Selective LLM Imputation [1.0832844764942349]
  依存性の解決は、コンフリクトなしで一緒にインストールできるパッケージバージョンを選択するタスクである。 LLMMのような最近の研究は、Pythonとパッケージバージョンをコードから推論するために大きな言語モデルを使用することでこの問題に対処している。 SMT-LLMは,形式的制約解で推定するバージョンを置き換えたハイブリッドシステムである。
  論文  参考訳（メタデータ） (2026-05-12T08:42:37Z)
• Cross-Ecosystem Vulnerability Analysis for Python Applications [8.776396282382864]
  Pythonアプリケーションは、パッケージディストリビューション内でベンダ化されたり、ホストシステムにインストールされたりする、ネイティブライブラリに依存している。 現在の脆弱性スキャナは、OSディストリビューションによってバックポートされたセキュリティパッチを無視して、ベンダーの脆弱性の欠如と偽陽性によって偽陰性を生成する。 我々は、ベンダーライブラリを特定のOSパッケージバージョンやアップストリームリリースに解決する、実証可能な脆弱性分析手法を提案する。
  論文  参考訳（メタデータ） (2026-03-19T09:52:29Z)
• PyTrim: A Practical Tool for Reducing Python Dependency Bloat [4.121942353083345]
  依存性の肥大化はPythonプロジェクトでの永続的な課題である。 このプロセスを自動化するエンド・ツー・エンドのシステムであるPYTRIMを導入する。 PYTRIMは、さまざまなファイルタイプにわたる未使用のインポートとパッケージ宣言を削除する。
  論文  参考訳（メタデータ） (2025-10-01T08:58:55Z)
• PyPitfall: Dependency Chaos and Software Supply Chain Vulnerabilities in Python [1.2644387713029346]
  本稿では、PyPIエコシステム全体にわたる脆弱な依存関係の定量的解析であるPyPitfallを紹介する。 我々は,378,573個のPyPIパッケージの依存関係構造を分析し,少なくとも1つの既知の拡張可能なバージョンを必要とする4,655個のパッケージを特定した。 我々は,Pythonソフトウェアサプライチェーンのセキュリティに対する認識を高めることを目的としている。
  論文  参考訳（メタデータ） (2025-07-24T03:58:18Z)
• PyPulse: A Python Library for Biosignal Imputation [58.35269251730328]
  PyPulseは,臨床およびウェアラブルの両方のセンサ設定において生体信号の計算を行うPythonパッケージである。 PyPulseのフレームワークは、非機械学習バイオリサーバーを含む幅広いユーザーベースに対して、使い勝手の良いモジュラーで拡張可能なフレームワークを提供する。 PyPulseはMITライセンスでGithubとPyPIでリリースしました。
  論文  参考訳（メタデータ） (2024-12-09T11:00:55Z)
• PyRadar: Towards Automatically Retrieving and Validating Source Code Repository Information for PyPI Packages [24.8919191161202]
  既存のツールは、PyPIリリースの70.5%しかリポジトリ情報を取得できない。 本稿では,PyPIリリースのリポジトリ情報の検索と検証にメタデータとソース配布を利用する新しいフレームワークであるPyRadarを提案する。
  論文  参考訳（メタデータ） (2024-04-25T12:27:59Z)
• DADApy: Distance-based Analysis of DAta-manifolds in Python [51.37841707191944]
  DADApyは、高次元データの分析と特徴付けのためのピソンソフトウェアパッケージである。 固有次元と確率密度を推定し、密度に基づくクラスタリングを行い、異なる距離メトリクスを比較する方法を提供する。
  論文  参考訳（メタデータ） (2022-05-04T08:41:59Z)
• PyHHMM: A Python Library for Heterogeneous Hidden Markov Models [63.01207205641885]
  PyHHMM は Heterogeneous-Hidden Markov Models (HHMM) のオブジェクト指向Python実装である。 PyHHMMは、異種観測モデル、データ推論の欠如、異なるモデルの順序選択基準、半教師付きトレーニングなど、同様のフレームワークではサポートされない機能を強調している。 PyHHMMは、numpy、scipy、scikit-learn、およびシーボーンPythonパッケージに依存しており、Apache-2.0ライセンスの下で配布されている。
  論文  参考訳（メタデータ） (2022-01-12T07:32:36Z)
• Scikit-dimension: a Python package for intrinsic dimension estimation [58.8599521537]
  この技術ノートは、固有次元推定のためのオープンソースのPythonパッケージであるtextttscikit-dimensionを紹介している。 textttscikit-dimensionパッケージは、Scikit-learnアプリケーションプログラミングインターフェイスに基づいて、既知のID推定子のほとんどを均一に実装する。 パッケージを簡潔に記述し、実生活と合成データにおけるID推定手法の大規模(500以上のデータセット)ベンチマークでその使用を実証する。
  論文  参考訳（メタデータ） (2021-09-06T16:46:38Z)
• pyBART: Evidence-based Syntactic Transformations for IE [52.93947844555369]
  pyBARTは、英語のUD木を拡張UDグラフに変換するためのオープンソースのPythonライブラリである。 パターンに基づく関係抽出のシナリオで評価すると、より少ないパターンを必要としながら、より高精細なUDよりも高い抽出スコアが得られる。
  論文  参考訳（メタデータ） (2020-05-04T07:38:34Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。