論文の概要: Never Emitted: Reporter Attribution in GitHub's Machine-Readable Vulnerability Records
- arxiv url: http://arxiv.org/abs/2609.33099v1
- Date: Sun, 27 Sep 2026 02:11:36 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-06 10:31:27.779271
- Title: Never Emitted: Reporter Attribution in GitHub's Machine-Readable Vulnerability Records
- Title（参考訳）: GitHubのMachine-Readable Vulnerability Recordsにおけるレポーターの貢献
- Abstract要約: GitHubはエコシステム内のアドバイザリにCVE識別子を割り当てている。
この情報はレポーターから収集され、受け入れるように要求され、アドバイザリページに表示され、独自のREST APIを通じて提供されます。
GitHubに割り当てられた238件のCVEレコードは、リンクアドバイザリが少なくとも1つのパーティを公に信用している。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: The CVE record format defines a credits container that names who found or reported a vulnerability, with a typed role per entry. The OSV schema defines an equivalent field. GitHub, which assigns CVE identifiers for advisories in its ecosystems, collects this information from reporters, requires them to accept it, displays it on the advisory page, and serves it through its own REST API. It emits it into neither standardized format. Across 238 GitHub-assigned CVE records whose linked advisory publicly credits at least one party, zero carry a credits container, while all 238 carry metrics and problemTypes, two fields the CVE schema leaves optional exactly as it leaves credits. Across 302 advisories in the same pool we retrieved GitHub's own OSV export file, and zero carry a credits field. The omission is not a property of either format: the Erlang Ecosystem Foundation populates the CVE field on 18 of 18 records in the same pool using a freely available client for CVE Services. In a census of all 4,889 published CVE records in a two-week window, 46.9% carry credits, GitHub's rate is 0 of 570 without any advisory filter, and assigner behaviour is concentrated at the extremes without being exhausted by them: 16 assigners emit the field on no record and 13 on essentially every record, while 8 assigners covering 23% of the records sit in between. A request to close the gap has been open since January 2023; GitHub's stated reason for deferring it is quoted verbatim. We further show that the NVD API schema defines no credits field, so attribution that CNAs do emit does not reach the database most tooling consumes: of 43 credit-bearing records traced from advisory to CVE record to NVD, none retained it. We release the collection scripts and a frozen snapshot of every API response.
- Abstract（参考訳）: CVEレコードフォーマットは、脆弱性を見つけたか報告した人に名前をつけ、エントリ毎にタイプされたロールを付与するクレジットコンテナを定義する。
OSVスキーマは等価フィールドを定義する。
エコシステム内のアドバイザリにCVE識別子を割り当てるGitHubは、この情報をレポーターから収集し、それを受け入れ、アドバイザリページに表示し、独自のREST APIを通じて提供する。
規格化されていないフォーマットに出力する。
GitHubに割り当てられた238のCVEレコードは、リンクされたアドバイザリが少なくとも1つのパーティをパブリックにクレジットするが、0はクレジットコンテナを持ち、すべての238はメトリクスと問題タイプを持ち、CVEスキーマは2つのフィールドでクレジットをそのままにしておく。
同じプールにある302のアドバイザリで、GitHub独自のOSVエクスポートファイルを取得しました。
Erlang Ecosystem Foundationは、CVEサービスの無償クライアントを使用して、同じプール内の18レコードのうち18レコードにCVEフィールドをポップアップさせる。
2週間のウィンドウで4,889件のCVEレコードが発行され、46.9%のクレジットが発行され、GitHubのレートはアドバイザリフィルタなしで570件の0である。
ギャップを埋める要求は2023年1月から始まっている。
さらに、NVD APIスキーマはクレジットフィールドを定義しないので、CNAが発行する属性は、ほとんどのツールが消費するデータベースに到達しない。
コレクションスクリプトと、すべてのAPIレスポンスの凍結スナップショットをリリースしています。
関連論文リスト
- A Policy Profile for Croissant: Refusal as a Property of the Dataset [51.56484100374058]
Croissantは、MLデータセット:-LD over schema.org用の事実上の機械可読記述子である。
バージョン1.1以降はデータ使用条件も備えており、DUOとODRLを推奨している。
バージョンが明記されていないのは、どれかの評価方法、決定手順、評価コストの制限なし、実装が評価できない状態の結果なし、何がチェックされたかの記録なし、呼び出し側権限によるコンポジションなしである。
論文 参考訳（メタデータ） (2026-09-17T03:30:32Z) - Agora: Git as Shared Memory for Collective AutoResearch [54.31992252587096]
別々のセッションで作業する調査エージェントは、他の人が試したことと、構築可能な結果を知る必要がある。
各コミットは結果、洞察、仮説、検証、報告を記録し、それを以前の作業とリンクする。
約12日間に渡り,13人の言語モデル労働者がアゴラを重み移動問題の解決に利用したことを報告した。
論文 参考訳（メタデータ） (2026-09-16T04:00:54Z) - MutMem-V2: Cryptographically Authorized Mutation in Persistent Agent Memory Portable Verification and Reproducible Evidence [0.0]
MutMem V2は、永続的なエージェントメモリのための暗号的に認可された突然変異である。
意味的真理、普遍的堅牢性、独立した複製を確立しない。
論文 参考訳（メタデータ） (2026-09-01T13:34:44Z) - Smart Contracts Claimed Vulnerable by the CVE Database, with Labels and Source Locations [0.0]
本稿では、スマートコントラクトを参照して、CVEレコードのキュレートされたデータセットであるCVE-Smart-Contractsを紹介する。
データセットには3つのラベルに従って脆弱なアーティファクト(ソースコードとバイトコード)が含まれている。
このデータセットは経験的セキュリティ研究、特にコード解析と修復技術の評価をサポートする。
論文 参考訳（メタデータ） (2026-09-01T13:01:39Z) - The Recall Trap: A Recall-Maximizing Retriever Configuration Reduces Issue Resolution in Fixed-Budget Code Context [45.88028371034407]
コード修復における制御ケーススタディを報告し,新しい現象ではない。
私たちは、同じスタック上の1つのフラグ(1チャンク毎の重複)を切り替えます。
BM25(3.2pp、重要なパラダイム間相互作用)を逆転させる。
厳格な固定予算では、ファイルごとのハードダイドプリケートや、タスクに対するA/Bパッケージングポリシは、メトリックフラグを調整しないことが示されます。
論文 参考訳（メタデータ） (2026-08-14T19:22:50Z) - Scaling Author Identity Disambiguation to the World of Code: A Methodology [2.788646205877688]
本稿では,WoC (World of Code) コレクション(バージョン V2604, バージョン V2604, 6B コミット上の 107M の異なる著者文字列)を標準人物にエイリアスするための方法論について述べる。
このスケールでは、中心的な問題はマージの過大さであり、マージの欠落ではない。
デプロイされた設計の背後にある完全な実験記録(失敗を含む20以上の実験を含む)を報告する。
論文 参考訳（メタデータ） (2026-07-08T02:30:26Z) - Was It Never Collected, or Rewritten Away? A Commit-Provenance Dataset Separating Ingestion Gaps from Upstream History Edits across the World of Code [2.788646205877688]
私たちは、欠落したコミットを大規模に分離するコミット改善データセットをリリースします。
1,118,116,350件以上のコミットがあり、53.35%がWoC(World of Code)に登録されている。
15分の1の欠落したコミットケースは、ミラーギャップではなく、プロジェクトを削除した書き直しである。
論文 参考訳（メタデータ） (2026-07-02T21:12:43Z) - How Far Is Document Parsing from Solved? PureDocBench: A Source-TraceableBenchmark across Clean, Degraded, and Real-World Settings [56.70440596502351]
昨年は20以上のオープンドキュメントパースモデルが見られたが、ベンチマークはほぼOmniDocBenchにのみ依存している。
HTML/CSSのドキュメントイメージをレンダリングするベンチマークであるPureDocBenchは、10のドメイン、66ページ、1,475ページをカバーしています。
論文 参考訳（メタデータ） (2026-05-08T09:30:31Z) - Mapping NVD Records to Their VFCs: How Hard is it? [9.654974283421346]
NVD(National Vulnerability Database)レコードを脆弱性修正コミット(VFC)にマッピングすることは、脆弱性分析には不可欠だが、NVD参照の明確なリンクが不足しているため、難しい。
本研究では, このマッピングの実現可能性について, 実証的アプローチを用いて検討する。
NVD参照のマニュアル分析では、Git参照は86%以上成功し、非Git参照は14%以下である。
論文 参考訳（メタデータ） (2025-06-11T13:14:29Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。