論文の概要: Python Import as an Execution Boundary: An Empirical Study of Bugs, Vulnerabilities, and Analysis Gaps
- arxiv url: http://arxiv.org/abs/2609.14791v1
- Date: Sun, 13 Sep 2026 21:06:35 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-16 07:15:05.97352
- Title: Python Import as an Execution Boundary: An Empirical Study of Bugs, Vulnerabilities, and Analysis Gaps
- Title（参考訳）: 実行境界としてのPythonインポート: バグ、脆弱性、分析ギャップに関する実証的研究
- Abstract要約: Pythonソフトウェアのインポート関連バグとセキュリティ脆弱性について検討する。
PyPIプロジェクトヒストリーでセキュリティアドバイザリを使用して、インポートがケースをアクティベートする方法を確認します。
ImportVulBenchは228組のプリフィックスと11のバグタイプすべてをカバーする修正プログラムです。
- 参考スコア（独自算出の注目度）: 7.13396930901845
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Python import does more than resolve dependencies: it executes code during module and package initialization. This behavior can trigger failures, load dynamic or native code, access resources, or change security-sensitive state before an application calls a package API. Prior work studies package selection, malicious packages, or package vulnerabilities. We present ImportMine, a study of import-related bugs and security vulnerabilities in Python software. We combine security advisories with PyPI project histories and use source and patch evidence to confirm how import activates cases, why the problem occurs, how developers fix it, and what program information is needed to explain the behavior. We retain 31 import-related advisory vulnerabilities and 38 application-data boundary cases and confirm 1,429 project-history bugs across 1,302 repositories. Among the project-history bugs activated during initialization, 97.6% stop or disrupt normal execution. In contrast, 90.0% of the 20 initialization- activated advisory vulnerabilities are High or Critical. Module-level code and package initialization activate 98.3% of the analyzed history cases. Dynamic loading is much less common, but most of its cases perform security-sensitive actions. We also find that many fixes change when an import becomes active instead of removing the dependency. Finally, we derive ImportVulBench, 228 paired pre-fix and fixed programs covering all 11 bug types.
- Abstract（参考訳）: Python importは依存性の解決以上のものだ。モジュールとパッケージの初期化時にコードを実行する。
この動作は障害をトリガーしたり、動的コードやネイティブコードを読み込んだり、リソースにアクセスしたり、アプリケーションがパッケージAPIを呼び出す前にセキュリティに敏感な状態を変更したりする。
以前は、パッケージの選択、悪意のあるパッケージ、またはパッケージの脆弱性について研究していた。
我々はPythonソフトウェアにおけるインポート関連バグとセキュリティ脆弱性の研究であるImportMineを紹介する。
セキュリティアドバイザリをPyPIプロジェクト履歴と組み合わせて、ソースとエビデンスを使用して、インポートがどのようにケースを起動するか、なぜ問題が発生したか、開発者がそれをどのように修正するか、動作を説明するためにプログラム情報が必要であるかを確認する。
31のインポート関連アドバイザリ脆弱性と38のアプリケーションデータ境界ケースを保持し、1,302リポジトリで1,429のプロジェクト履歴バグを確認します。
初期化時にアクティベートされたプロジェクト履歴バグのうち、97.6%が正常な実行を停止または中断している。
対照的に、20のイニシャライゼーション-アクティベートされたアドバイザリ脆弱性の90.0%は、ハイまたはクリティカルである。
モジュールレベルのコードとパッケージの初期化は、分析された履歴ケースの98.3%を活性化する。
動的ローディングはそれほど一般的ではないが、ほとんどのケースはセキュリティに敏感なアクションを実行する。
また、依存関係を削除する代わりにインポートがアクティブになると、多くの修正が変わることもわかりました。
最後に、11のバグタイプすべてをカバーする228のプリフィックスと固定プログラムであるImportVulBenchを導出します。
関連論文リスト
- SkillAtlas: An Attack Trace Library for Agent Skills [67.18648151130607]
我々は、プライベートエージェントスキルセキュリティレポートバンドルをレビュー、修正、検索可能なパブリックケースに変換する、ホストされた攻撃トレースライブラリであるSkillAtlasを紹介する。
図書館には3,014のケース、6,589のトレース、151,131のステップ、233の影響を受けたスキル、8のリスクカテゴリが含まれている。
論文 参考訳（メタデータ） (2026-09-11T16:44:39Z) - VeriPort: Automated and Verified Patch Backporting at Scale [41.76637014069122]
We present VeriPort, an end-to-end agentic system that has backports a patch for a specified vulnerability Advisory to every affected version of the package。
バックポートごとにVeriPortは一連のエビデンスを構築し、パッチがエクスプロイトをブロックし、意図した動作を保存する。
私たちはVeriPortを169の高重重度CVE上にデプロイし、5,000以上の検証済みバックポートパッチを生成しました。
論文 参考訳（メタデータ） (2026-06-21T22:45:33Z) - Correct Code, Vulnerable Dependencies: A Large Scale Measurement Study of LLM-Specified Library Versions [52.50730821321986]
大規模言語モデル(LLM)におけるバージョンレベルのリスクの大規模評価を初めて行った。
我々は1000のStack OverflowプログラミングタスクのベンチマークであるPinTrace上で10のLLMを評価した。
LLM バージョン選択は LLM ベース開発における第1級, 以前は見落とされたリスクサーフェスとして確認された。
論文 参考訳（メタデータ） (2026-05-07T13:52:59Z) - LLM-Guided Issue Generation from Uncovered Code Segments [2.9610847900970856]
IssueSpecterは未発見のコードセグメントのバグを見つけ、優先順位付けされた実行可能なイシューレポートを自動的に生成する。
我々は、13のアクティブメンテナンスPythonプロジェクトでIssueSpecterを評価し、10,467のイシューレポートを生成した。
論文 参考訳（メタデータ） (2026-04-28T21:10:53Z) - Cross-Ecosystem Vulnerability Analysis for Python Applications [8.776396282382864]
Pythonアプリケーションは、パッケージディストリビューション内でベンダ化されたり、ホストシステムにインストールされたりする、ネイティブライブラリに依存している。
現在の脆弱性スキャナは、OSディストリビューションによってバックポートされたセキュリティパッチを無視して、ベンダーの脆弱性の欠如と偽陽性によって偽陰性を生成する。
我々は、ベンダーライブラリを特定のOSパッケージバージョンやアップストリームリリースに解決する、実証可能な脆弱性分析手法を提案する。
論文 参考訳（メタデータ） (2026-03-19T09:52:29Z) - Why Authors and Maintainers Link (or Don't Link) Their PyPI Libraries to Code Repositories and Donation Platforms [83.16077040470975]
Python Package Index(PyPI)上のライブラリのメタデータは、オープンソースライブラリの透明性、信頼性、持続性をサポートする上で重要な役割を果たす。
本稿は,5万PyPIの著者とメンテナに送付された2つの対象調査を組み合わせた大規模実証研究である。
我々は,大規模言語モデル(LLM)に基づくトピックモデリングを用いて1,400以上の応答を分析し,リポジトリと寄付プラットフォームのリンクに関連する重要なモチベーションと障壁を明らかにする。
論文 参考訳（メタデータ） (2026-01-21T16:13:57Z) - Analyzing the Availability of E-Mail Addresses for PyPI Libraries [89.21869606965578]
81.6%のライブラリには、少なくとも1つの有効な電子メールアドレスが含まれており、PyPIが主要なソースとなっている。
698,000以上の無効なエントリを識別します。
論文 参考訳（メタデータ） (2026-01-20T14:54:58Z) - PyTrim: A Practical Tool for Reducing Python Dependency Bloat [4.121942353083345]
依存性の肥大化はPythonプロジェクトでの永続的な課題である。
このプロセスを自動化するエンド・ツー・エンドのシステムであるPYTRIMを導入する。
PYTRIMは、さまざまなファイルタイプにわたる未使用のインポートとパッケージ宣言を削除する。
論文 参考訳（メタデータ） (2025-10-01T08:58:55Z) - What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。
LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
論文 参考訳（メタデータ） (2025-09-26T18:06:36Z) - An Empirical Study of Malicious Code In PyPI Ecosystem [15.739368369031277]
PyPIは便利なパッケージ管理プラットフォームを開発者に提供します。
PyPIエコシステムの急速な発展は、悪意のあるパッケージの伝播という深刻な問題を引き起こしている。
PyPIエコシステムにおける悪意のあるコードライフサイクルの特徴と現状を理解するための実証的研究を行う。
論文 参考訳（メタデータ） (2023-09-20T02:51:02Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。