論文の概要: Reproducibility is Not Enough: Artifact Verifiability in Decentralized-Build Package Ecosystems
- arxiv url: http://arxiv.org/abs/2608.18180v1
- Date: Tue, 18 Aug 2026 02:30:23 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-20 20:13:55.17085
- Title: Reproducibility is Not Enough: Artifact Verifiability in Decentralized-Build Package Ecosystems
- Title（参考訳）: 再現性は十分ではない:分散化ビルドパッケージエコシステムにおけるアーチファクト検証可能性
- Abstract要約: アーティファクト検証には、ソース状態、ビルド環境、依存関係、アーティファクトを生成するビルド命令を復元する必要がある。
アーティファクトは異種ツールと断片化されたメタデータを通じて生成されるため、分散ビルドエコシステムはこれを難しくする。
本稿では,4つの分散ビルド・パッケージ・エコシステムにおけるアーティファクトの検証可能性について検討する。
- 参考スコア（独自算出の注目度）: 5.670956660842575
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Reproducible and verifiable builds increase trust in distributed software artifacts by enabling independent parties to detect artifacts produced by compromised build or release pipelines. However, artifact verification requires more than deterministic builds: a verifier must also recover the source state, build environment, dependencies, and build instructions that produced the artifact. Decentralized-build ecosystems make this difficult because artifacts are produced through heterogeneous tools, maintainer-controlled workflows, and fragmented metadata. As a result, it remains unclear how often artifacts in these ecosystems can be independently verified. This paper studies artifact verifiability across four popular decentralized-build package ecosystems. We define an independent verifier model that relies only on registry-derivable metadata and an artifact comparison model with tiered equivalence levels. We implement these models in an Artifact Verification Pipeline and use it to measure artifact verifiability across the target ecosystems. Our results show that, beyond build determinism, verifiability is limited by missing source and build metadata, implicit release transformations, and unconventional build practices. Provenance attestations and embedded VCS metadata improve verification, but they do not provide complete rebuild specifications. These findings identify concrete metadata gaps and ecosystem-level changes needed to make artifact verification practical at package-registry scale.
- Abstract（参考訳）: 再現可能で検証可能なビルドは、分散ソフトウェアアーティファクトへの信頼を高め、独立したパーティが妥協されたビルドやリリースパイプラインによって生成されたアーティファクトを検出することを可能にする。
しかし、アーティファクトの検証には決定論的ビルド以上のものが必要である。検証者は、アーティファクトを生成するソース状態、ビルド環境、依存関係、ビルド命令を復元する必要がある。
アーティファクトは異種ツール、メンテナ制御ワークフロー、断片化されたメタデータを通じて生成されるため、分散ビルドエコシステムはこれを難しくしている。
結果として、これらのエコシステムのアーティファクトが独立して検証される頻度は、まだ不明である。
本稿では,4つの分散ビルド・パッケージ・エコシステムにおけるアーティファクトの検証可能性について検討する。
本稿では,レジストリデリバティブなメタデータのみに依存する独立検証モデルと,同値レベルを持つアーティファクト比較モデルを定義する。
これらのモデルをArtifact Verification Pipelineに実装し、ターゲットエコシステム全体にわたるアーティファクトの検証可能性を測定するために使用します。
私たちの結果は、ビルド決定性以外にも、ソースとビルドメタデータの欠如、暗黙的なリリース変換、非従来的なビルドプラクティスによって、検証可能性に制限があることを示しています。
Provenance attestationsと組込みVCSメタデータは検証を改善しているが、完全な再構築仕様は提供していない。
これらの結果から,具体的なメタデータギャップと,パッケージ登録規模でアーティファクト検証を実現するために必要なエコシステムレベルの変化を明らかにした。
関連論文リスト
- Vero: Can AI Agents Build Formally Verified Software Repositories? [45.09790101960906]
Veroはリポジトリレベルで共同実装と証明を評価する最初のベンチマークである。
Python、Dafny、Verus、Coqにまたがる実世界のリポジトリから43のマルチモジュールインスタンスが含まれている。
ベンチマークの信頼性を改善するため、Veroには、エージェントが提供された仕様の不満足さを正式に証明できる監査メカニズムも含まれている。
論文 参考訳（メタデータ） (2026-08-13T17:41:27Z) - QwenPaw-Data: Bridging Facts, Methodology, and Execution for Autonomous Enterprise Data Analytics [45.48758200829718]
企業におけるインテリジェントなデータ分析のためのエージェントデータシステムであるQwenPaw-Dataを紹介する。
QwenPaw-Dataは異種資産を再利用可能な、管理可能な、進化可能な分析資産に集約し、自然言語要求をエンドツーエンドの分析的データ理解、検索、分析、レポート生成、意思決定支援に変換する。
論文 参考訳（メタデータ） (2026-07-13T02:38:00Z) - Which Models Are Our Models Built On? Auditing Invisible Dependencies in Modern LLMs [21.170181670676566]
本稿では,公開成果物から依存グラフを再構築するシステムであるModSleuthを紹介する。
ModSleuthを4つのパブリックアーティファクトリッチLLMリリースに適用し、ソース検証された1060の依存関係を復元し、大規模な依存性グラフを構築する。
これらのグラフは、マルチホップライセンスの義務、トレイン評価の結合、リリースとトレーニングタイムのアーティファクトの相違、ドキュメントの不整合を明らかにします。
論文 参考訳（メタデータ） (2026-06-10T17:47:59Z) - The Custody Envelope Threshold: Authority-Scaled Admission of External Artifacts in Institutional Infrastructure [0.0]
本稿では,アーティファクト・インセプションのオーソリティスケールモデルを提案する。
直接の機関的受け入れは、物体の同一性、侵入経路、取り消し能力が十分に閉鎖されている場合にのみ、保護可能であると論じている。
パッケージ依存関係、GitHub Actions、コンテナイメージ、Terraformプロバイダとモジュール、開発者エクステンション、オープンモデルアーティファクトに適用される。
論文 参考訳（メタデータ） (2026-06-04T23:09:15Z) - Firefly: Illuminating Large-Scale Verified Tool-Call Data Generation from Real APIs [46.60041435990374]
本稿では,実世界のMPPサーバから検証済みのツールコールデータを生成するためのパイプラインFireFlyを紹介する。
実世界のツール空間のスケールを扱うために、ペアワイズツールグラフとサンプルサブDAGを構築します。
このパイプラインを適用すると、240のサーバと93のツールにまたがる5,144の検証タスクが生成される。
論文 参考訳（メタデータ） (2026-05-17T17:38:17Z) - Intermediate Artifacts as First-Class Citizens: A Data Model for Durable Intermediate Artifacts in Agentic Systems [0.10312968200748114]
このようなシステムは、耐久性があり、検査可能な中間アーティファクトを保存すべきである、と我々は主張する。
中間成果物をチャットの書き起こし、記憶、隠された思考の連鎖、ナレーション、思考、最終回答と区別する。
耐久性のある中間アーティファクトは、AI生成された作業をより検査可能で、修正可能で、時間の経過とともに保守可能にします。
論文 参考訳（メタデータ） (2026-05-12T13:09:07Z) - Attesting LLM Pipelines: Enforcing Verifiable Training and Release Claims [2.0403981727850233]
現代の大規模言語モデル(LLM)システムは、事前トレーニングされた重み付け、微調整アダプタ、データセット、依存関係パッケージ、コンテナイメージといったサードパーティの成果物から組み立てられている。
このスピードには、妥協された依存関係、悪意のあるハブアーティファクト、安全でないデフォールト化、偽造された前兆、バックドアモデルなど、サプライチェーンのリスクが伴う。
本稿では,信頼された環境にアーティファクトが認められる前に,クレームエビデンスを検証し,安全なローディングと静的スキャンポリシーを適用し,セキュアなシリアル配置制約を適用した,証明対応のプロモーションゲートを提案する。
論文 参考訳（メタデータ） (2026-03-30T20:37:48Z) - Architecture-Aware Multi-Design Generation for Repository-Level Feature Addition [53.50448142467294]
RAIMは、リポジトリレベルの機能追加のための、多設計およびアーキテクチャ対応のフレームワークである。
複数の多様な実装設計を生成することで、線形パッチから切り離される。
NoCode-bench Verifiedデータセットの実験では、RAIMが新しい最先端のパフォーマンスを確立することが示されている。
論文 参考訳（メタデータ） (2026-03-02T12:50:40Z) - interwhen: A Generalizable Framework for Verifiable Reasoning with Test-time Monitors [47.363850513075356]
実験時間検証フレームワークであるInterwhenを提案し, 与えられた検証結果に対して, 推論モデルの出力が有効であることを保証する。
検証された推論は、物理的な世界にエージェントを配置するといった高度なシナリオにおいて重要な目標である。
論文 参考訳（メタデータ） (2026-02-05T08:35:01Z) - EvoSyn: Generalizable Evolutionary Data Synthesis for Verifiable Learning [63.03672166010434]
我々は、進化的、タスクに依存しない、戦略を導いた、実行可能検証可能なデータ合成フレームワークを紹介します。
問題、多様な候補解、検証成果物を共同で合成する。
これは、人間による注釈付きチェックと戦略によるチェックの合意を強制する一貫性に基づく評価器を通じて戦略を反復的に発見する。
論文 参考訳（メタデータ） (2025-10-20T11:56:35Z) - Attestable Builds: Compiling Verifiable Binaries on Untrusted Systems using Trusted Execution Environments [2.4650753804485417]
我々は、ソフトウェアアーティファクトに強力なソース対バイナリ対応を提供する新しいパラダイムである、検証可能なビルドを提示する。
我々のシステムは、最新の信頼できる実行環境(TEE)とサンドボックス化されたビルドコンテナを使用して、特定のアーティファクトが特定のソースコードスナップショットから正しく構築されていることを確実に保証します。
論文 参考訳（メタデータ） (2025-05-05T10:00:04Z) - Fake It Till Make It: Federated Learning with Consensus-Oriented
Generation [52.82176415223988]
コンセンサス指向生成による連合学習(FedCOG)を提案する。
FedCOGは、補完的なデータ生成と知識蒸留に基づくモデルトレーニングという、クライアント側の2つの重要なコンポーネントで構成されています。
古典的および実世界のFLデータセットの実験は、FedCOGが一貫して最先端の手法より優れていることを示している。
論文 参考訳（メタデータ） (2023-12-10T18:49:59Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。