本文提出 VeriPort，一个端到端的自动化补丁回溯系统，旨在解决开源依赖中已知漏洞的修复难题。当前，安全补丁通常仅针对最新版本发布，开发者面临两难：要么升级到最新版本（可能引入破坏性变更），要么手动将补丁回溯到旧版本。现有回溯方案只能针对单个指定版本，且无法提供充分证据证明补丁能阻断漏洞利用并保持原有功能。VeriPort 能够根据给定的漏洞公告，将该补丁可扩展地回溯到该包的所有受影响版本。对于每个回溯版本，VeriPort 构建一条证据链，以确认补丁阻断了漏洞利用并保留了预期行为。作者使用 BackportBench 基准测试（包含 128 个回溯任务）进行评估，VeriPort 成功解决了 95.3% 的任务，比现有最佳方案 Claude Code 高出 22.7 个百分点。此外，研究团队将 VeriPort 部署在 169 个高/严重等级 CVE 上，生成了超过 5000 个经过验证的回溯补丁。更重要的是，VeriPort 还发现了 2100 个版本被错误报告为受影响，以及 127 个之前未被识别的脆弱版本（涉及 92 个公告），其中 23 个公告已在上游得到修正（删除了 387 个错误版本，新增了 81 个正确版本）。该论文适合安全工程师、开源维护者和依赖管理工具开发者阅读。