Newest papers

Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain

Derek Garcia · 2026 · arXiv

DOI: 10.48550/arXiv.2610.28794 · open-access PDF

Japanese

ソフトウェアサプライチェーン攻撃は増加を続け、オープンソースのエコシステムが繁栄するのを助ける信頼を取しています。Shai-HuludウィルムやAxios妥協のような最近の事件は、単一の悪意のあるパッケージが夜間に広範囲に及ぼし、破壊的な影響を及ぼす可能性があることを示しています。これらの高プロフィールの攻撃は、同じ責任者:パッケージレジストリに追跡することができます。それらは、構築済みのパッケージを引き出すのに役立つ便利さであるにもかかわらず、ソフトウェアサプライチェーンの一般的に利用されるコンポーネントはリスクに値するのでしょうか? この論文では、レジストリを削除するかどうかを調査します。

Machine translation (Meta M2M100); the English original follows.

Abstract

Software supply chain attacks continue to be on the rise, exploiting the trust that helps open source ecosystems thrive. Recent incidents like the Shai-Hulud worm and the Axios compromise demonstrate that a single malicious package can have wide reaching and devastating impacts overnight. These high profile attacks can be traced back to the same culprit: package registries. Although they are a useful convenience to pull prebuilt packages from, is such a commonly exploited component of the software supply chain worth the risk? In this paper, we investigate whether removing the registry from the

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange