ArXiv cs.CRは10月21日(現地時間)、デレク・ガルシア氏らが執筆した研究論文「Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain」を公開した。この論文は、ソフトウェアサプライチェーン攻撃の増加に対応するため、ソースコードからの直接ビルドをマルウェア防止戦略として提案する。悪意あるパッケージがソースの帰属を避ける一方、善良なパッケージがリポジトリへのリンクを公開するという仮説に基づき、この戦略の有効性と実現可能性を検証している。
ソフトウェアサプライチェーン攻撃は増加の一途をたどり、オープンソースエコシステムを支える信頼を悪用していると指摘されている。近年、Shai-Hulud wormやAxios compromiseといったインシデントが発生し、単一の悪意あるパッケージが広範囲に壊滅的な影響を及ぼす可能性が明らかになった。これらの攻撃は、共通してパッケージレジストリに起因している。
ガルシア氏の研究では、開発者のワークフローからレジストリを外し、ソースから直接パッケージをビルドする手法が、マルウェア防止戦略として機能し、攻撃対象領域全体を効果的に排除できるかを調査している。研究では、マルウェアを回避する上での「ソースからのビルド」の有効性、現在のサプライチェーンにおける実現可能性、そして既存の最先端セキュリティスキャナーとの比較という3つの研究課題が設定された。
検証のため、研究チームはnpmとPyPIエコシステムを横断する4つの学術データセットと1つの業界データセットから、合計47,066個の悪意あるパッケージのデータセットを構築した。また、390万個のnpmパッケージと76万4,000個のPyPIパッケージのスナップショットインデックスを作成し、悪意あるサンプルと各レジストリから統計的に有意な16,569個のパッケージサンプル（合計33,138個）を分析した。
その結果、単純にソースの有無を確認するだけで、ソース検証のレベルに応じて87.7%から99.9%の確率でマルウェアを防止できることが判明した。しかし、善良なパッケージにおいても透明性の欠如が指摘され、エンドユーザーがビルド可能なソースを帰属させているのはわずか47.4%だった。
参考: arXiv cs.CR (アーカイブ) — 2026年10月22日 13:00 (JST)
原文ハイライト"Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain"