論文の概要: Implicit, Yet Impactful: Understanding Hidden Dependencies in Java Projects
- arxiv url: http://arxiv.org/abs/2608.16262v1
- Date: Mon, 17 Aug 2026 08:33:37 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-18 19:59:03.592719
- Title: Implicit, Yet Impactful: Understanding Hidden Dependencies in Java Projects
- Title（参考訳）: Javaプロジェクトにおける隠れた依存性を理解する
- Abstract要約: 暗黙的な依存関係を焦点現象として扱い、Mavenエコシステムのライフサイクルの結果を定量的に特徴付けるために、最初の研究を行った。
分析したデータセットの34.12%が暗黙の依存関係を持ち、主要な原因が2つあることが判明した。
- 参考スコア（独自算出の注目度）: 23.251474006823656
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: As software usage continues to expand, package managers automatically resolve dependencies to construct a dependency graph based on user-specified requirements. These explicitly declared dependencies, known as direct dependencies, receive significant attention in terms of maintainability and security. However, implicit dependencies, which are not explicitly defined by users but are still directly utilized or referenced in their project code due to oversight, remain largely unnoticed. Unlike ordinary transitive dependencies, which may remain unused and invisible to the root, implicit dependencies are actively used yet undeclared, leaving their versions outside the project's direct control. This lack of awareness poses substantial challenges related to security and maintainability. In this study, we present the first study to treat implicit dependencies as the focal phenomenon and quantitatively characterize their lifecycle consequences for the Maven ecosystem. We meticulously collected and built a large-scale dataset with 1,157 libraries with 19,812 versions from the Maven Central Repository and 972 modules from GitHub. Our findings reveal that 34.12% of the analyzed dataset contains implicit dependencies, with two primary causes identified as key contributors to the issue. Among these, 48% introduce breaking changes due to version drift, and 36 CVEs have vulnerable methods directly used by root projects; 30.28% of implicit dependencies are affected by known vulnerabilities under the version-range convention SCA tools use for declared dependencies. Finally, we identified and analyzed four major countermeasures, providing actionable insights and practical implications for addressing this overlooked issue for stakeholders within the OSS ecosystem.
- Abstract（参考訳）: ソフトウェアの利用が拡大し続ければ、パッケージマネージャは自動的に依存関係を解決して、ユーザが指定した要求に基づいて依存性グラフを構築する。
これらの宣言された依存関係は、直接依存関係として知られ、保守性とセキュリティの観点から大きな注目を集めている。
しかし、ユーザによって明示的に定義されていない暗黙の依存関係は、監視のためにプロジェクトコードで直接利用または参照されているものの、ほとんど気付かれていないままである。
ルートに無用で見えない通常の推移的依存関係とは異なり、暗黙的な依存関係は積極的に使われながらも宣言されていない。
この認識の欠如は、セキュリティと保守性に関する重大な課題を引き起こします。
本研究では,暗黙的な依存関係を焦点現象として扱い,Mavenエコシステムのライフサイクルを定量的に特徴づける最初の研究について述べる。
Maven Central Repositoryから19,812バージョンとGitHubから962モジュールを備えた,1,157のライブラリを備えた大規模なデータセットを慎重に収集して構築しました。
分析したデータセットの34.12%が暗黙の依存関係を持ち、主要な原因が2つあることが判明した。
このうち、48%はバージョンドリフトによる破壊的な変更を導入し、36のCVEはルートプロジェクトで直接使用される脆弱なメソッドを持つ。
最後に、OSSエコシステム内のステークホルダーに対して、この見過ごされた問題に対処するために、実用的な洞察と実践的な意味を提供する4つの主要な対策を特定し、分析した。
関連論文リスト
- Dynamic analysis enhances issue resolution [53.50448142467294]
DAIRA(Dynamic Analysis-enhanced Issue Resolution Agent)は、エージェントの推論サイクルに動的解析を組み込む自動修復フレームワークである。
テストトレース駆動の方法論によって駆動されるDAIRAは、軽量モニタを使用して重要なランタイムデータを抽出する。
Gemini 3 Flash Previewを使用すると、DAIRAは新たな最先端(SOTA)パフォーマンスを確立し、SWE-bench Verifiedデータセットで79.4%の解像度を達成する。
論文 参考訳（メタデータ） (2026-03-23T14:48:54Z) - Uncovering Hidden Inclusions of Vulnerable Dependencies in Real-World Java Projects [2.337931591219808]
Javaにおける依存性スキャンへのハイブリッドアプローチであるUnshadeを紹介します。
メタデータベースのスキャニングの効率性と、コード中心のアプローチの依存関係の変更を検出する機能を組み合わせる。
私たちはGitHubで、最も人気のある1,808のJava Mavenプロジェクトについて大規模な調査を行いました。
論文 参考訳（メタデータ） (2026-01-30T14:30:04Z) - Why Authors and Maintainers Link (or Don't Link) Their PyPI Libraries to Code Repositories and Donation Platforms [83.16077040470975]
Python Package Index(PyPI)上のライブラリのメタデータは、オープンソースライブラリの透明性、信頼性、持続性をサポートする上で重要な役割を果たす。
本稿は,5万PyPIの著者とメンテナに送付された2つの対象調査を組み合わせた大規模実証研究である。
我々は,大規模言語モデル(LLM)に基づくトピックモデリングを用いて1,400以上の応答を分析し,リポジトリと寄付プラットフォームのリンクに関連する重要なモチベーションと障壁を明らかにする。
論文 参考訳（メタデータ） (2026-01-21T16:13:57Z) - Analyzing the Availability of E-Mail Addresses for PyPI Libraries [89.21869606965578]
81.6%のライブラリには、少なくとも1つの有効な電子メールアドレスが含まれており、PyPIが主要なソースとなっている。
698,000以上の無効なエントリを識別します。
論文 参考訳（メタデータ） (2026-01-20T14:54:58Z) - Why Does the LLM Stop Computing: An Empirical Study of User-Reported Failures in Open-Source LLMs [50.075587392477935]
オープンソースのDeepSeek、Llama、Qwenのエコシステムから、705の現実世界の失敗に関する大規模な実証的研究を行った。
ホワイトボックスオーケストレーションは、モデルアルゴリズムの欠陥からデプロイメントスタックのシステム的脆弱性へと、信頼性のボトルネックを移動させます。
論文 参考訳（メタデータ） (2026-01-20T06:42:56Z) - Out of Sight, Still at Risk: The Lifecycle of Transitive Vulnerabilities in Maven [0.3670008893193884]
間接的な依存関係から生じる過渡的脆弱性は、共通脆弱性や露出に関連するリスクにプロジェクトを公開します。
我々は、CVE導入後のプロジェクトの露出時間を測定するためにサバイバル分析を採用している。
Mavenプロジェクトの大規模なデータセットを使用して、これらの脆弱性の解決に影響を及ぼす要因を特定します。
論文 参考訳（メタデータ） (2025-04-07T07:54:15Z) - Detecting and removing bloated dependencies in CommonJS packages [6.115666382910127]
サーバサイドJavaScriptアプリケーションにおける肥大した依存関係を調査するための最初の研究について述べる。
そこで我々は,OSファイルシステムをモニタし,実行中にどの依存関係にアクセスできないかを決定するトレースベースの動的解析手法を提案する。
論文 参考訳（メタデータ） (2024-05-28T08:04:01Z) - See to Believe: Using Visualization To Motivate Updating Third-party Dependencies [1.7914660044009358]
サードパーティの依存関係を使用したアプリケーションによって導入されたセキュリティ脆弱性が増加している。
開発者はライブラリのアップデートに注意を払っており、脆弱性の修正にも注意している。
本稿では、依存性グラフ可視化(DGV)アプローチが、開発者が更新を動機付けると仮定する。
論文 参考訳（メタデータ） (2024-05-15T03:57:27Z) - Dependency Practices for Vulnerability Mitigation [4.710141711181836]
npmエコシステムの450以上の脆弱性を分析し、依存するパッケージが脆弱なままである理由を理解します。
依存関係によって感染した20万以上のnpmパッケージを特定します。
私たちは9つの機能を使って、脆弱性修正を迅速に適用し、脆弱性のさらなる伝播を防ぐパッケージを特定する予測モデルを構築しています。
論文 参考訳（メタデータ） (2023-10-11T19:48:46Z) - Analyzing Maintenance Activities of Software Libraries [55.2480439325792]
近年、産業アプリケーションはオープンソースソフトウェアライブラリを深く統合している。
産業アプリケーションに対する自動監視アプローチを導入して、オープンソース依存関係を特定し、その現状や将来的なメンテナンス活動に関するネガティブな兆候を示したいと思っています。
論文 参考訳（メタデータ） (2023-06-09T16:51:25Z) - On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。
Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。
検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文 参考訳（メタデータ） (2023-06-08T20:14:46Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。