論文の概要: Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain

• arxiv url: http://arxiv.org/abs/2610.28794v1
• Date: Tue, 20 Oct 2026 18:22:40 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-23 00:40:06.119039
• Title: Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain
• Title（参考訳）: Sign:より信頼できるソフトウェアサプライチェーンのソースを提供する
• Abstract要約: ソフトウェアサプライチェーンの攻撃は増加傾向にあり、オープンソースエコシステムの繁栄に役立つ信頼を利用しています。 Shai-HuludワームやAxiosの妥協のような最近の事件は、単一の悪意のあるパッケージが一晩で広範囲に到達し、壊滅的な影響を及ぼしていることを示している。 ソースから直接パッケージをビルドすることで,開発者ワークフローからレジストリを削除することが,マルウェア防止戦略として有効かどうかを検討する。
• 参考スコア（独自算出の注目度）: 0.3553493344868413
• License: http://creativecommons.org/licenses/by-nc-sa/4.0/
• Abstract: Software supply chain attacks continue to be on the rise, exploiting the trust that helps open source ecosystems thrive. Recent incidents like the Shai-Hulud worm and the Axios compromise demonstrate that a single malicious package can have wide reaching and devastating impacts overnight. These high profile attacks can be traced back to the same culprit: package registries. Although they are a useful convenience to pull prebuilt packages from, is such a commonly exploited component of the software supply chain worth the risk? In this paper, we investigate whether removing the registry from the developer workflow by building packages directly from source can serve as a malware prevention strategy - effectively removing an entire attack surface. Our hypothesis is that malicious packages avoid attributing a source to minimize visibility, while benign packages seek exposure and therefore link to their repositories. We evaluate this through three research questions: how effective is building from source at avoiding malware, how feasible is it to build from source in the current state of the supply chain, and how the building from source strategy compares to state-of-the-art security scanners. To do so, we (1) construct an aggregate dataset of 47,066 malicious packages from four academic and one industry malicious datasets source across npm and PyPI ecosystems, (2) build a snapshot index of all 3.9 million npm and 764 thousand PyPI packages, and (3) analyze all malicious samples alongside a statistically significant sample of 16,569 packages from each registry, totaling 33,138 packages. We find that simply checking for a source has a success rate between 87.7 and 99.9 percent of preventing malware, depending on the level of source vetting. Consequently, there is a significant lack of transparency within benign packages, with only 47.4 percent attributing a source an end user could build from.
• Abstract（参考訳）: ソフトウェアサプライチェーンの攻撃は相変わらず増加を続けており、オープンソースエコシステムの繁栄に役立つ信頼を活用している。 Shai-HuludワームやAxiosの妥協のような最近の事件は、1つの悪意あるパッケージが一晩で広範囲に到達し、壊滅的な影響を及ぼしていることを示している。 これらの高いプロファイル攻撃は、同じ原因であるパッケージレジストリに遡ることができる。 ビルド済みのパッケージを取り出すのに便利な機能ですが、このようなソフトウェアサプライチェーンの一般的に利用されるコンポーネントはリスクに値しますか? 本稿では,ソースから直接パッケージをビルドすることで,開発者ワークフローからレジストリを削除することが,マルウェア防止戦略として有効であるかどうかを検討する。 私たちの仮説では、悪意のあるパッケージは、可視性を最小限にするためにソースの帰属を回避し、良質なパッケージは露出を求め、リポジトリにリンクする。 マルウェアを避けるためのソースからのビルドがいかに効果的か、サプライチェーンの現在の状態におけるソースからのビルドがどの程度可能か、ソース戦略からのビルドが最先端のセキュリティスキャナと比較できるか、という3つの調査質問を通じて、これを評価した。 そのために,(1)npmとPyPIのエコシステムにまたがる4つの学術的および1つの産業的悪意あるデータセットから47,066個の悪意あるパッケージの集合データセットを構築し,(2)3.9百万npmと764万PyPIのパッケージのスナップショットインデックスを作成し,(3)各レジストリから16,569個のパッケージの統計的に重要なサンプルを収集し,33,138個のパッケージを収集した。 ソースのチェックは、ソースの検証レベルに応じて、マルウェアの予防の87.7から99.9%の成功率を持つ。 その結果、良質なパッケージには透明性が欠如しており、エンドユーザが構築できるソースは47.4%に過ぎなかった。

関連論文リスト

• CASHEWS: Source Preprocessor for LLM-based Malicious Package Detection [41.27475849408484]
  悪意のあるnpmパッケージ検出ツールは、ソースコードの意味的理解を利用して、大規模に悪意のあるインテントを検出する。 この機能は、Shai-Huludのような最近のサプライチェーン攻撃に関わるパッケージを特定する上で、非常に有益であることが証明されている。 CASHEWSはJavaScriptプリプロセッサで、ソースコードを書き換えてファイルサイズを減らし、解析に無関係なコードを削除する。
  論文  参考訳（メタデータ） (2026-09-16T16:00:58Z)
• ChainFuzzer: Greybox Fuzzing for Workflow-Level Multi-Tool Vulnerabilities in LLM Agents [42.37163874052913]
  ChainFuzzerは、監査可能なエビデンスでマルチツール脆弱性を発見し再現するためのフレームワークである。 20の人気のあるLLMエージェントアプリ(998ツール)上でChainFuzzerを評価する。
  論文  参考訳（メタデータ） (2026-03-13T03:35:54Z)
• Why Authors and Maintainers Link (or Don't Link) Their PyPI Libraries to Code Repositories and Donation Platforms [83.16077040470975]
  Python Package Index(PyPI)上のライブラリのメタデータは、オープンソースライブラリの透明性、信頼性、持続性をサポートする上で重要な役割を果たす。 本稿は,5万PyPIの著者とメンテナに送付された2つの対象調査を組み合わせた大規模実証研究である。 我々は,大規模言語モデル(LLM)に基づくトピックモデリングを用いて1,400以上の応答を分析し,リポジトリと寄付プラットフォームのリンクに関連する重要なモチベーションと障壁を明らかにする。
  論文  参考訳（メタデータ） (2026-01-21T16:13:57Z)
• Analyzing the Availability of E-Mail Addresses for PyPI Libraries [89.21869606965578]
  81.6%のライブラリには、少なくとも1つの有効な電子メールアドレスが含まれており、PyPIが主要なソースとなっている。 698,000以上の無効なエントリを識別します。
  論文  参考訳（メタデータ） (2026-01-20T14:54:58Z)
• SourceBroken: A large-scale analysis on the (un)reliability of SourceRank in the PyPI ecosystem [10.03632278118504]
  SourceRankは、オープンソースパッケージの人気と品質を評価する18のメトリクスからなるスコアシステムである。 本稿では,URLの混同を含む各メトリックに対する潜在的な回避アプローチを識別する脅威モデルを提案する。 PyPIエコシステムにおけるSourceRankの信頼性について,良性および悪意のあるパッケージのSourceRank分布を分析して検討した。
  論文  参考訳（メタデータ） (2025-12-30T18:34:07Z)
• ConfuGuard: Using Metadata to Detect Active and Stealthy Package Confusion Attacks Accurately and at Scale [3.259700715934023]
  パッケージ混乱の脅威を検知する最先端の検出器であるConfuGuardを紹介する。 本稿では,前パッケージ混同データから得られた良性信号の最初の経験的分析について述べる。 パッケージメタデータを活用して良質なパッケージを識別し、サポートを最大7つのソフトウェアパッケージレジストリに拡張します。
  論文  参考訳（メタデータ） (2025-02-27T21:25:10Z)
• The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
  Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。 現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。 提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
  論文  参考訳（メタデータ） (2024-09-10T10:12:37Z)
• An Analysis of Malicious Packages in Open-Source Software in the Wild [17.028240712650486]
  オープンソースのソフトウェア(OSS)エコシステムは、マルウェアによるセキュリティ上の脅威に悩まされている。 OSSマルウェアの研究には、高品質なデータセットの欠如、マルウェアの多様性の欠如、攻撃キャンペーンコンテキストの欠如の3つの制限がある。
  論文  参考訳（メタデータ） (2024-04-07T15:25:13Z)
• Malicious Package Detection using Metadata Information [0.272760415353533]
  本稿では,メタデータに基づく悪意のあるパッケージ検出モデルであるMeMPtecを紹介する。 MeMPtecはパッケージメタデータ情報から一連の機能を抽出する。 実験の結果,偽陽性と偽陰性の両方が有意な減少を示した。
  論文  参考訳（メタデータ） (2024-02-12T06:54:57Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。