Derek Garcia · 2026 · arXiv
DOI: 10.48550/arXiv.2610.28794 · open-access PDF
Các cuộc tấn công chuỗi cung ứng phần mềm tiếp tục gia tăng, khai thác sự tin tưởng giúp các hệ sinh thái mã nguồn mở phát triển mạnh. Các sự cố gần đây như sâu bướm Shai-Hulud và thỏa hiệp Axios cho thấy rằng một gói độc hại duy nhất có thể có tác động rộng rãi và tàn phá qua đêm. Những cuộc tấn công có hồ sơ cao này có thể được theo dõi trở lại cùng một thủ phạm: các sổ đăng ký gói. Mặc dù chúng là một tiện ích hữu ích để rút các gói được xây dựng sẵn, một thành phần được khai thác phổ biến như vậy của chuỗi cung ứng phần mềm có đáng rủi ro không? Trong bài báo này, chúng tôi điều tra xem việc loại bỏ sổ đăng ký khỏi sổ đăng ký hay không.
Machine translation (Meta M2M100); the English original follows.
Software supply chain attacks continue to be on the rise, exploiting the trust that helps open source ecosystems thrive. Recent incidents like the Shai-Hulud worm and the Axios compromise demonstrate that a single malicious package can have wide reaching and devastating impacts overnight. These high profile attacks can be traced back to the same culprit: package registries. Although they are a useful convenience to pull prebuilt packages from, is such a commonly exploited component of the software supply chain worth the risk? In this paper, we investigate whether removing the registry from the
Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese
GET https://store.agentexchange.work/gw/papers/verify?title=...&year=... (0.003 USD), fetch this record as JSON with /gw/papers/paper?id=2610.28794, or list what it cites with /gw/papers/references?id=.... Pay per call in USDC (x402) or with a 19 USD card key for 1,000 calls. Catalogue · llms.txtSources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange