该论文关注一个长期被安全社区低估的问题：Python 的 import 语句不仅是依赖解析机制，更是一个执行边界——在模块与包的初始化阶段就会实际执行代码。这种执行可能触发异常、动态加载模块或原生扩展、访问文件/网络/环境资源，甚至在应用尚未调用目标包的任何 API 之前就修改安全敏感状态（如全局配置、日志、密钥、认证开关、反序列化钩子等）。作者指出，已有研究多聚焦于包选择风险、恶意包检测或包自身的漏洞，而缺少对「导入行为本身如何引发缺陷与安全问题」的系统性实证分析。为填补这一空白，作者构建了 ImportMine 研究流程：把公开安全公告（advisories）与 PyPI 项目历史数据结合，利用源码与补丁证据进行人工/半自动确认，回答四个问题——import 在什么条件下激活问题、问题为何产生、开发者如何修复、以及需要哪些程序信息才能解释该行为。研究保留 31 个与 import 相关的公告漏洞和 38 个应用-数据边界案例，并在 1,302 个代码仓库中确认了 1,429 个项目历史缺陷。关键发现包括：在初始化阶段被激活的项目历史缺陷中，97.6% 会导致正常执行中断或功能受损；而在 20 个初始化阶段激活的公告漏洞中，90.0% 被评级为 High 或 Critical。模块级代码与包初始化共激活了 98.3% 的分析案例，说明风险主要集中在导入即执行的语义上；动态加载虽占比很低，但其案例大多执行了安全敏感操作。作者还观察到一种普遍的修复反模式：许多补丁只是改变 import 何时变为「激活」（延迟导入、条件导入、移动到函数内部），而非真正移除依赖或消除危险副作用。最后，论文发布了 ImportVulBench，包含 228 组修复前/修复后配对程序，覆盖全部 11 种缺陷类型，可用于评估静态分析与程序理解工具对 import 触发行为的检测能力。