論文の概要: PatchRisk: Forecasting Future Vulnerability Exposure in Open-Source Dependency Networks
- arxiv url: http://arxiv.org/abs/2609.13719v1
- Date: Sat, 12 Sep 2026 05:09:17 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-16 07:15:05.485025
- Title: PatchRisk: Forecasting Future Vulnerability Exposure in Open-Source Dependency Networks
- Title（参考訳）: PatchRisk: オープンソース依存ネットワークにおける将来的な脆弱性の公開を予測
- Abstract要約: オープンソースアドバイザリとdeps.dev依存グラフからnpmとPyPIのリーク対応ベンチマークを構築した。
TimeOnly、GraphStruct、HistoryGraphの3つの機能ファミリを評価します。
- 参考スコア（独自算出の注目度）: 0.42821598129654453
- License: http://creativecommons.org/licenses/by-nc-nd/4.0/
- Abstract: Open-source software ecosystems are web-scale dependency networks. A downstream package can become exposed to security risk not because its own source code changes, but because one of its transitive dependencies later receives a vulnerability advisory. Existing vulnerability-detection work often focuses on whether code is currently vulnerable or whether a known vulnerable dependency is already present. We study a different problem: future transitive vulnerability exposure. Given a package-version dependency graph observed at release time, the task is to predict whether any non-root dependency will receive a vulnerability advisory within a future horizon. This problem is important for Web intelligence and software supply-chain security because it supports proactive dependency triage before future exposure is visible. It is also easy to evaluate incorrectly: current vulnerable dependencies can leak the label, and different versions of the same root package can create package-level memorization across train and test splits. We therefore construct PatchRisk, a leakage-aware benchmark from Open Source Vulnerability advisories and deps.dev dependency graphs for npm and PyPI. The benchmark uses filtration-aware labels, package-disjoint evaluation, temporal testing, and nested 1K, 3K, 5K, and 10K sampling scales. The largest cleaned setting contains 9,007 root package-version graphs spanning 4,157 root packages. We evaluate three feature families: TimeOnly, GraphStruct, and HistoryGraph. On the 10K temporal-test benchmark, HistoryGraph improves AUPRC over the strongest TimeOnly baseline from 0.351 to 0.640 for 90-day forecasting and from 0.473 to 0.813 for 365-day forecasting. The improvement remains stable across smaller scales and package-group shuffle robustness tests.
- Abstract（参考訳）: オープンソースのソフトウェアエコシステムは、Webスケールの依存性ネットワークである。
ダウンストリームパッケージがセキュリティリスクにさらされる可能性があるのは、自身のソースコードが変更されたからではなく、過渡的な依存関係の1つが後に脆弱性アドバイザリを受け取るからである。
既存の脆弱性検出作業は、コードが現在脆弱かどうか、あるいは既知の脆弱性のある依存関係がすでに存在するかどうかに重点を置いていることが多い。
我々は、将来的な過渡的脆弱性の暴露という、別の問題を研究する。
リリース時に観察されるパッケージ-バージョン依存性グラフを考えると、タスクは、ルート以外の依存関係が将来の地平線内で脆弱性アドバイザリを受け取るかどうかを予測することである。
この問題はWebインテリジェンスとソフトウェアサプライチェーンセキュリティにとって重要である。
現在の脆弱な依存関係はラベルをリークし、同じルートパッケージの異なるバージョンは、トレインとテストのスプリットをまたいだパッケージレベルの記憶を作成することができる。
そこで我々は、オープンソースの脆弱性アドバイザリと、npmとPyPIのdeps.dev依存グラフからリークを意識したベンチマークであるPatchRiskを構築した。
ベンチマークでは、フィルタリング対応ラベル、パッケージ不整合評価、時間テスト、ネスト1K、3K、5K、10Kサンプリングスケールが使用されている。
最大のクリーン化設定は、4,157個のルートパッケージにまたがる9,007個のルートパッケージ変換グラフを含む。
TimeOnly、GraphStruct、HistoryGraphの3つの機能ファミリを評価します。
10Kの時間テストベンチマークでは、HistoryGraphは、90日間の予測では0.351から0.640に、365日間の予測では0.473から0.813に、最強のTimeOnlyベースラインよりもAUPRCを改善している。
改善は小規模なスケールとパッケージグループシャッフル堅牢性テストで安定している。
関連論文リスト
- VEX-Bench: Benchmarking LLM Agents for Assessing Exploitability of Software Supply Chain Vulnerabilities [8.261542578922597]
ソフトウェアサプライチェーン脆弱性の悪用性を評価できるLSMエージェントの能力を評価するための最初のベンチマークを紹介する。
VEX-Benchには、GitHubから発掘され、セキュリティの専門家によってラベル付けされた75の現実世界のケースが含まれており、Python、Java、Goをカバーしている。
GPT-5.5とClaude Opus 4.6はバイナリ脆弱性統計分類で約80%のF1に達したが、きめ細かい正当性分類で70%のマクロF1を超えたのはGPT-5.5のみである。
論文 参考訳（メタデータ） (2026-09-07T22:52:09Z) - Original Sin of npm: A Study on Vulnerability Propagation in JavaScript Dependency Networks [16.016433368001504]
本稿では、カスタム構築の脆弱性データベースから収集された脆弱性1,515件について考察する。
最初の脆弱性バージョンがnpmで公開されたときから、脆弱性のあるパッケージを修正するのに平均して4年11ヶ月かかる。
論文 参考訳（メタデータ） (2026-04-19T23:44:28Z) - Credential Leakage in LLM Agent Skills: A Large-Scale Empirical Study [51.717224133855886]
サードパーティのスキルはLLMエージェントを強力な能力で拡張するが、特権のある環境では機密情報を扱うことが多い。
静的解析,サンドボックステスト,手動検査を用いて17,022のスキル(SkillsMPで170,226からサンプリング)を分析した。
我々は,1,708の課題で520の脆弱なスキルを識別し,10の漏洩パターン(事故4件,反対6件)の分類を導出する。
論文 参考訳（メタデータ） (2026-04-03T14:50:16Z) - Cross-Ecosystem Vulnerability Analysis for Python Applications [8.776396282382864]
Pythonアプリケーションは、パッケージディストリビューション内でベンダ化されたり、ホストシステムにインストールされたりする、ネイティブライブラリに依存している。
現在の脆弱性スキャナは、OSディストリビューションによってバックポートされたセキュリティパッチを無視して、ベンダーの脆弱性の欠如と偽陽性によって偽陰性を生成する。
我々は、ベンダーライブラリを特定のOSパッケージバージョンやアップストリームリリースに解決する、実証可能な脆弱性分析手法を提案する。
論文 参考訳（メタデータ） (2026-03-19T09:52:29Z) - Outrunning LLM Cutoffs: A Live Kernel Crash Resolution Benchmark for All [57.23434868678603]
Live-kBenchは、新たに発見されたカーネルバグのエージェントをスクラップし、評価するセルフ進化ベンチマークの評価フレームワークである。
kEnvは、カーネルのコンパイル、実行、フィードバックのためのエージェントに依存しないクラッシュ解決環境である。
kEnvを用いて3つの最先端エージェントをベンチマークし、最初の試行で74%のクラッシュを解決したことを示す。
論文 参考訳（メタデータ） (2026-02-02T19:06:15Z) - Forecasting the Maintained Score from the OpenSSF Scorecard for GitHub Repositories linked to PyPI libraries [78.48200143057376]
今後,OpenSSFが保持するスコアをどの程度予測できるかを検討する。
PageRankによって、最も中央のPyPIライブラリのトップ1%に関連付けられた3,220のGitHubリポジトリを分析します。
以上の結果から,今後の保守活動は有意義な精度で予測できることが示唆された。
論文 参考訳（メタデータ） (2026-01-26T10:32:54Z) - What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。
LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
論文 参考訳（メタデータ） (2025-09-26T18:06:36Z) - Faster Releases, Fewer Risks: A Study on Maven Artifact Vulnerabilities and Lifecycle Management [0.14999444543328289]
私たちは1万のMavenアーティファクトのリリース履歴を分析し、203,000以上のリリースと170万の依存関係をカバーしています。
以上の結果から,リリース速度と依存性の陳腐化との間には逆の関係が認められた。
これらの知見は、セキュリティリスクの低減におけるリリース戦略の加速の重要性を強調している。
論文 参考訳（メタデータ） (2025-03-31T17:32:45Z) - Analyzing the Usage of Donation Platforms for PyPI Libraries [91.97201077607862]
本研究では,PyPIエコシステムにおける寄付プラットフォームの導入状況について分析した。
GitHub Sponsorsが支配的なプラットフォームであるが、多くのPyPIリストのリンクは時代遅れである。
論文 参考訳（メタデータ） (2025-03-11T10:27:31Z) - Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。
35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。
ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
論文 参考訳（メタデータ） (2024-11-12T01:55:51Z) - How Quickly Do Development Teams Update Their Vulnerable Dependencies? [3.5472726784546076]
MTTU(Mean-Time-To-Update)とMTTR(Mean-Time-To-Remediate for vulnerable dependencies)
MTTU(Mean-Time-To-Update forDependency)とMTTR(Mean-Time-To-Remediate for vulnerableDependency)という2つの新しい指標を提案する。
論文 参考訳（メタデータ） (2024-03-26T05:01:53Z) - Dependency Practices for Vulnerability Mitigation [4.710141711181836]
npmエコシステムの450以上の脆弱性を分析し、依存するパッケージが脆弱なままである理由を理解します。
依存関係によって感染した20万以上のnpmパッケージを特定します。
私たちは9つの機能を使って、脆弱性修正を迅速に適用し、脆弱性のさらなる伝播を防ぐパッケージを特定する予測モデルを構築しています。
論文 参考訳（メタデータ） (2023-10-11T19:48:46Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。