Newest papers

Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain

Derek Garcia · 2026 · arXiv

DOI: 10.48550/arXiv.2610.28794 · open-access PDF

Russian

Нападения на цепочку поставок программного обеспечения продолжают расти, используя доверие, которое помогает экосистемам с открытым исходным кодом процветать. Недавние инциденты, такие как червь Shai-Hulud и компромисс Axios, демонстрируют, что один злонамеренный пакет может иметь широкий охват и разрушительные последствия в одночасье. Эти высокопрофильные атаки могут быть отслежены до того же виновника: регистров пакетов. Хотя они являются полезным удобством для извлечения предварительно построенных пакетов, стоит ли такой часто используемый компонент цепочки поставок программного обеспечения риска?

Machine translation (Meta M2M100); the English original follows.

Abstract

Software supply chain attacks continue to be on the rise, exploiting the trust that helps open source ecosystems thrive. Recent incidents like the Shai-Hulud worm and the Axios compromise demonstrate that a single malicious package can have wide reaching and devastating impacts overnight. These high profile attacks can be traced back to the same culprit: package registries. Although they are a useful convenience to pull prebuilt packages from, is such a commonly exploited component of the software supply chain worth the risk? In this paper, we investigate whether removing the registry from the

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange