論文の概要: AROMA+: A Study of Factors Affecting Reproducible Builds in the Maven Ecosystem
- arxiv url: http://arxiv.org/abs/2608.27125v1
- Date: Thu, 27 Aug 2026 13:39:03 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-28 16:30:58.420062
- Title: AROMA+: A Study of Factors Affecting Reproducible Builds in the Maven Ecosystem
- Title（参考訳）: AROMA+: Mavenエコシステムの再現可能なビルドに影響する要因の研究
- Abstract要約: プロジェクトにおける外部ソフトウェア再利用は、コンポーネントのソースが不明であったり、コンポーネントの一貫性が検証できない場合にセキュリティリスクが生じる。
再生産可能なビルドは、再利用されたコンポーネントの起源と一貫性を確認することができるため、緩和戦略を示す。
私たちの研究は、Mavenエコシステムにおけるこれらの取り組みを自動化を通じて支援することを目的としています。
- 参考スコア（独自算出の注目度）: 1.5399429731150376
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Modern software engineering establishes software supply chains and relies on tools and libraries to improve productivity. However, reusing external software in a project presents a security risk when the source of the component is unknown or the consistency of a component cannot be verified. Reproducible builds present a mitigation strategy, as they can confirm the origin and consistency of reused components. A large reproducibility community has formed for Debian, but the reproducibility of the Maven ecosystem, the backbone of the Java supply chain, remains understudied in comparison. Reproducible Central is an initiative that curates a list of reproducible Maven libraries, but the list is limited and challenging to maintain due to manual efforts. Our research aims to support these efforts in the Maven ecosystem through automation. We investigate the feasibility of automatically finding the source code of a library from its Maven release and recovering information about the original release environment. Our tool, AROMA+, can obtain this critical information from the artifact and the source repository through several heuristics and we use the results for reproduction attempts of packages on Maven Central. Overall, our approach achieves an accuracy of up to 99.8% when compared field-by-field to the existing manual approach. In some instances, we even detected flaws in the manually maintained list, such as broken repository links. We reveal that automatic reproducibility is feasible for 32% of the packages on Maven Central using AROMA+, and 12% of these packages are fully reproducible. We demonstrate our ability to successfully reproduce new packages and have contributed some of them to the Reproducible Central repository. Additionally, we highlight actionable insights, outline future work in this area, and make our dataset and tools publicly available.
- Abstract（参考訳）: 現代のソフトウェア工学はソフトウェアサプライチェーンを確立し、生産性を向上させるツールやライブラリに依存している。
しかし、プロジェクトにおける外部ソフトウェア再利用は、コンポーネントのソースが不明であったり、コンポーネントの一貫性が検証できない場合にセキュリティリスクが生じる。
再生産可能なビルドは、再利用されたコンポーネントの起源と一貫性を確認することができるため、緩和戦略を示す。
Debianのために大規模な再現性コミュニティが形成されたが、JavaサプライチェーンのバックボーンであるMavenエコシステムの再現性は、まだ検討されていない。
Reproducible Centralは、再現可能なMavenライブラリのリストをキュレートするイニシアチブである。
私たちの研究は、Mavenエコシステムにおけるこれらの取り組みを自動化を通じて支援することを目的としています。
本稿では,Mavenリリースからライブラリのソースコードを自動的に検出し,元のリリース環境に関する情報を回復する可能性について検討する。
当社のツールであるAROMA+は,いくつかのヒューリスティックを通じて,アーティファクトとソースリポジトリから,この重要な情報を入手することができる。
提案手法は,フィールド・バイ・フィールド法と既存の手動法とを比較した場合,最大99.8%の精度を達成できる。
いくつかのケースでは、壊れたリポジトリリンクなど、手動でメンテナンスされたリストの欠陥も検出しました。
私たちは、AROMA+を使ってMaven Centralのパッケージの32%が自動再現可能であり、これらのパッケージの12%が完全に再現可能であることを明らかにした。
新しいパッケージをうまく再現できる能力を示し、そのいくつかをReproducible Centralリポジトリにコントリビュートしました。
さらに、実行可能な洞察を強調し、この分野における今後の作業の概要を説明し、データセットとツールを公開しています。
関連論文リスト
- Adaptive Critical Token-Aware Retrieval for Repository-Level Code Generation [53.85136813868056]
ACToRは、リポジトリレベルのコード生成のための適応型クリティカルトークン対応検索フレームワークである。
我々は、ACToRが、リポジトリレベルのベンチマークにおいて、最先端のメソッドを一貫して上回っていることを示す。
論文 参考訳（メタデータ） (2026-09-01T17:59:39Z) - On the Variability of Source Code in Maven Package Rebuilds [0.7297857358723842]
85リリースを含む28の人気のあるパッケージの代替ビルドについて、等価でないソースについて検討する。
主な原因はビルド時にコードを生成するビルドエクステンションであることに気付きました。
論文 参考訳（メタデータ） (2026-02-22T23:31:42Z) - Maven-Lockfile: High Integrity Rebuild of Past Java Releases [8.004632448033531]
MavenはJavaエコシステムにおいて最も重要なパッケージマネージャの1つです。
Maven-Lockfileを使ってロックファイルの生成と更新を行い、過去のバージョンからのプロジェクトの再構築をサポートしています。
評価の結果、Maven-Lockfileは過去のコミットからビルドを再現でき、改ざんされたアーティファクトを検出できることがわかった。
論文 参考訳（メタデータ） (2025-10-01T10:14:32Z) - Unlocking Reproducibility: Automating re-Build Process for Open-Source Software [0.06124773188525717]
Maven Centralのようなソフトウェアエコシステムは、現代のソフトウェアサプライチェーンにおいて重要な役割を果たす。
上位1200の一般的なアーティファクトの約84%は、透過的なCI/CDパイプラインを使用して構築されていない。
業界レベルのオープンソースサプライチェーンセキュリティフレームワークであるMavenを拡張して,Mavenアーティファクトのソースからの再構築を自動化する。
論文 参考訳（メタデータ） (2025-09-10T00:23:08Z) - Causes and Canonicalization of Unreproducible Builds in Java [11.155099138622148]
再現可能なビルドの概念フレームワークを導入し,再現可能な中央からの大きなデータセットを分析し,再現不可能な6つの根本原因の新たな分類法を開発した。
12,803個の再現不可能なアーティファクトに対して26.60%のカノニゼーションを実現するツールであるChains-Rebuildを紹介する。
論文 参考訳（メタデータ） (2025-04-30T14:17:54Z) - EnvBench: A Benchmark for Automated Environment Setup [76.02998475135824]
大規模言語モデルにより、研究者はソフトウェア工学領域における実用的なリポジトリレベルのタスクに集中できるようになった。
環境設定に関する既存の研究は革新的なエージェント戦略を導入しているが、その評価は小さなデータセットに基づいていることが多い。
このギャップに対処するため、包括的環境設定ベンチマークEnvBenchを紹介します。
論文 参考訳（メタデータ） (2025-03-18T17:19:12Z) - Maven-Hijack: Software Supply Chain Attack Exploiting Packaging Order [9.51794475707891]
Maven-HijackはMavenが依存性をパッケージする順番を利用する新しい攻撃です。
正当なクラスと同じ完全資格を持つ悪意のあるクラスをパッケージ化された依存性に注入することで、アタッカーは静かにコアアプリケーションの振る舞いをオーバーライドできる。
封印されたJAR、Javaモジュール、Maven Enforcerプラグインといった3つの緩和戦略を評価します。
論文 参考訳（メタデータ） (2024-07-26T14:17:47Z) - UMBRELA: UMbrela is the (Open-Source Reproduction of the) Bing RELevance Assessor [51.20527342770299]
UMBRELAはオープンソースツールキットで、OpenAIのGPT-4oモデルを使ってThomasらの結果を再現する。
我々のツールキットは、容易に研究できるように設計されており、既存の多段階検索および評価パイプラインに統合することができる。
UMBRELAはTREC 2024RAGトラックで、関連性評価を支援するために使用される。
論文 参考訳（メタデータ） (2024-06-10T17:58:29Z) - Alibaba LingmaAgent: Improving Automated Issue Resolution via Comprehensive Repository Exploration [64.19431011897515]
本稿では,問題解決のためにソフトウェアリポジトリ全体を包括的に理解し,活用するために設計された,新しいソフトウェアエンジニアリング手法であるAlibaba LingmaAgentを提案する。
提案手法では,重要なリポジトリ情報を知識グラフに凝縮し,複雑さを低減し,モンテカルロ木探索に基づく戦略を採用する。
Alibaba Cloudの製品展開と評価において、LingmaAgentは、開発エンジニアが直面した社内問題の16.9%を自動で解決し、手作業による介入で43.3%の問題を解決した。
論文 参考訳（メタデータ） (2024-06-03T15:20:06Z) - TRIAD: Automated Traceability Recovery based on Biterm-enhanced
Deduction of Transitive Links among Artifacts [53.92293118080274]
トレーサビリティにより、ステークホルダは、ソフトウェアライフサイクル全体で導入されたソフトウェアアーティファクト間のトレースリンクを抽出し、理解することができます。
ほとんどの場合、Information Retrieval (IR) など、ソフトウェアアーティファクト間のテキストの類似性に依存している。
論文 参考訳（メタデータ） (2023-12-28T06:44:24Z) - On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。
Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。
検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文 参考訳（メタデータ） (2023-06-08T20:14:46Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。