論文の概要: An Exploratory Study of Dependabot Cooldown Adoption in Open-Source GitHub Projects

• arxiv url: http://arxiv.org/abs/2609.16605v1
• Date: Tue, 15 Sep 2026 04:02:08 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-16 14:56:08.335549
• Title: An Exploratory Study of Dependabot Cooldown Adoption in Open-Source GitHub Projects
• Title（参考訳）: オープンソースのGitHubプロジェクトにおけるDependabotの冷却導入に関する調査研究
• Abstract要約: GitHubは、Dependabotをソフトウェアサプライチェーン攻撃に対する防御として一般に利用可能にした。 セキュリティに関する懸念は、92件のイベントのうち83件を、既知のモチベーションによって動機づけた。 アーリーアダプターは、きめ細かいコントロールよりも単純なデフォルト遅延を好む。
• 参考スコア（独自算出の注目度）: 2.385829414517223
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Automated dependency updates can rapidly propagate malicious package releases before maintainers and the broader community have enough time to detect them. In July 2025, GitHub made Dependabot cooldown generally available as a defense against software supply chain attacks. However, the effects of its early adoption remain unknown. In this exploratory study, we empirically examine how popular open-source GitHub repositories adopt and configure the feature and investigate their motivations. We find that security concerns motivated 83 of 92 adoption events with known motivations. Security linter warnings triggered 43 of 75 security-only adoptions. Among 251 ecosystems within repositories that retained cooldown, 97.2% set a general delay. Of these, 64.3% used seven days, while use of each update type setting was below 10%. Early adopters therefore favor simple default delays over fine-grained controls. These findings suggest that tools could provide robust defaults reflecting ecosystem support and reserve fine-grained controls for dependencies with clear update priorities.
• Abstract（参考訳）: 依存関係の自動更新は、メンテナやより広いコミュニティが検出に十分な時間を持つ前に、悪意のあるパッケージリリースを急速に伝播させることができる。 2025年7月、GitHubはソフトウェアサプライチェーン攻撃に対する防御手段としてDependabotの冷却を一般公開した。 しかし、初期の養子縁組の影響は不明である。 この探索的研究では、オープンソースGitHubリポジトリがいかにしてこの機能を採用し、構成し、モチベーションを調査しているかを実証的に検証する。 セキュリティ上の懸念が92件の養子縁組イベントのうち83件のモチベーションを動機付けていることが判明した。 セキュリティ保護警告により、75のセキュリティのみの採用のうち43が引き起こされた。 冷却を保ったレポジトリ内の251のエコシステムの中で、97.2%が全般的に遅延した。 そのうち64.3%は7日間、更新タイプ設定は10%以下だった。 したがって、アーリーアダプターはきめ細かいコントロールよりも単純なデフォルト遅延を好む。 これらの結果は、ツールがエコシステムのサポートを反映した堅牢なデフォルトを提供し、アップデートの優先順位を明確にした依存性のきめ細かいコントロールを予約できることを示唆している。

関連論文リスト

• Analysis of Commit Signing on Github [2.1045887299238855]
  私たちは71,694人のアクティブなGitHubユーザを調査し、少なくとも1つのコミットを作成したアカウントとして定義しました。 6%以上の開発者が自身でコミットにサインしたことはなく、明らかな署名者の大多数は、Webブラウザ外でサインインしたことがない。 署名キーはGitHubにアップロードされないため、8人に1人が開発者管理シグネチャの検証に失敗している。
  論文  参考訳（メタデータ） (2026-04-15T15:57:07Z)
• Mining the YARA Ecosystem: From Ad-Hoc Sharing to Data-Driven Threat Intelligence [0.30586855806896046]
  YARAは「コードとしての判断」のデファクトスタンダードとして自らを確立している。 広く使われているにもかかわらず、オープンソースのYARAエコシステムはアドホックな共有と不透明な品質が特徴である。 我々は,1,853のGitHubリポジトリから抽出した840万のルールについて,大規模な混合メソッド調査を行った。
  論文  参考訳（メタデータ） (2026-03-15T03:01:13Z)
• Trace: Securing Smart Contract Repository Against Access Control Vulnerability [58.02691083789239]
  GitHubはソースコード、ドキュメント、設定ファイルを含む多数のスマートコントラクトリポジトリをホストしている。 サードパーティの開発者は、カスタム開発中にこれらのリポジトリからコードを参照、再利用、フォークすることが多い。 スマートコントラクトの脆弱性を検出する既存のツールは、複雑なリポジトリを扱う能力に制限されている。
  論文  参考訳（メタデータ） (2025-10-22T05:18:28Z)
• What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
  我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。 LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
  論文  参考訳（メタデータ） (2025-09-26T18:06:36Z)
• Six Million (Suspected) Fake Stars in GitHub: A Growing Spiral of Popularity Contests, Spams, and Malware [52.84746696418136]
  われわれは,GitHubにおける偽星の系統的,グローバル的,縦断的な測定を行った。 スケーラブルなツールであるStarScoutは、2019年から2024年の間に、すべてのGitHubメタデータにわたって、異常に主演する動作を検出することができる。 その結果,(1) 偽星関連活動は2024年に急速に急増し,(2) 偽星キャンペーンのアカウントやレポジトリは極めて自明な活動パターンを持ち,ほとんどの偽星は短命のフィッシングマルウェアレポジトリを促進するために使用されている。
  論文  参考訳（メタデータ） (2024-12-18T03:03:58Z)
• Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
  Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。 35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。 ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
  論文  参考訳（メタデータ） (2024-11-12T01:55:51Z)
• Analyzing the Accessibility of GitHub Repositories for PyPI and NPM Libraries [91.97201077607862]
  産業アプリケーションはオープンソースソフトウェア(OSS)ライブラリに大きく依存しており、様々な利点を提供している。 このようなコミュニティの活動を監視するには、エコシステムのライブラリの包括的なリポジトリのリストにアクセスしなければなりません。 本研究では、PyPIライブラリとNPMライブラリのGitHubリポジトリのアクセシビリティを分析する。
  論文  参考訳（メタデータ） (2024-04-26T13:27:04Z)
• Empirical Analysis of Vulnerabilities Life Cycle in Golang Ecosystem [0.773844059806915]
  Golangの脆弱性のライフサイクルを総合的に調査した。 その結果、Golangエコシステムの66.10%のモジュールが脆弱性の影響を受けていることがわかった。 タグ付けされていない脆弱性やラベル付けされていない脆弱性の背後にある理由を分析することで、タイムリーリリースとインデクシングのパッチバージョンは、エコシステムのセキュリティを著しく向上させる可能性がある。
  論文  参考訳（メタデータ） (2023-12-31T14:53:51Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)
• An Empirical Study on Workflows and Security Policies in Popular GitHub Repositories [9.048328480295224]
  オープンソースプロジェクトでは、誰でもコントリビュートできるので、アクティブな継続的インテグレーションと継続的デリバリ(CI/CD)パイプラインを持つことが重要です。 これらのプロジェクトの多くはGitHubにホストされており、メンテナが自動セキュリティポリシを作成することができる。 私たちはスター数に基づいてGitHubとセキュリティポリシーを何千もの人気のあるリポジトリで測定します。
  論文  参考訳（メタデータ） (2023-05-25T14:52:23Z)
• Detecting Security Patches via Behavioral Data in Code Repositories [11.052678122289871]
  Gitリポジトリ内の開発者動作のみを使用して,セキュリティパッチを自動的に識別するシステムを示す。 秘密のセキュリティパッチを88.3%、F1スコア89.8%で公開できることを示しました。
  論文  参考訳（メタデータ） (2023-02-04T06:43:07Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。