该论文针对开源软件供应链中代码级后门注入的威胁提出了一种自动化检测方法 Lily。代码级后门是一种隐蔽的代码改动，通过秘密触发器授予隐藏权限，难以被发现。此前针对广泛使用项目的后门注入尝试（如恶意提交、被篡改的发布包、受污染的第三方依赖）往往仅靠运气和人工审查才被阻止。现有持续集成（CI）流水线无法检测此类攻击，而下游二进制分析工具则需要大量人工分析。Lily 将后门检测机制集成到两个环节：一是 CI 流水线，用于在代码提交阶段阻断恶意提交；二是发布审查流程，用于防止被篡改的发布包或受损依赖进入大型生态系统（如 Linux 发行版）。Lily 有两个核心贡献：第一，它增强了兼容 CI 的模糊测试（fuzzing），能够基于历史和当前软件执行来检测可疑行为的触发器，从而在 CI 和更新验证流程中实现快速且精确的后门检测；第二，它将代码变更分析与模糊测试数据相结合，即使发布更新涉及数百万行代码改动，也能精确地将维护者定位到暴露后门的代码区域。论文还概述了攻击者可能规避 Lily 的五种策略，并评估了相应的防御措施。作者在数百个良性提交/发布和带后门提交/发布的实验表明，Lily 能以较低的误报率实现高检测精度，可靠地识别恶意代码，抵抗对抗性尝试，并且能够阻止真实世界中的后门事件。

该研究论文探讨了软件物料清单（SBOM）在增强软件供应链安全方面的潜力。研究背景指出，软件供应链攻击日益频繁，如SolarWinds事件，凸显了透明度和可追溯性的缺失。核心问题是如何利用SBOM来识别和缓解供应链中的漏洞和风险。研究方法包括对现有SBOM标准（如SPDX和CycloneDX）的分析，以及案例研究评估SBOM在漏洞响应、许可证合规性和依赖关系追踪中的实际效果。主要贡献是提出了一个框架，将SBOM集成到DevOps流程中，实现自动化的安全审计和风险评估。实验证明，该方法能显著缩短漏洞发现到修复的时间，并提高供应链整体的可见性。适合安全架构师、DevOps工程师和合规管理人员阅读。

本文提出 VeriPort，一个端到端的自动化补丁回溯系统，旨在解决开源依赖中已知漏洞的修复难题。当前，安全补丁通常仅针对最新版本发布，开发者面临两难：要么升级到最新版本（可能引入破坏性变更），要么手动将补丁回溯到旧版本。现有回溯方案只能针对单个指定版本，且无法提供充分证据证明补丁能阻断漏洞利用并保持原有功能。VeriPort 能够根据给定的漏洞公告，将该补丁可扩展地回溯到该包的所有受影响版本。对于每个回溯版本，VeriPort 构建一条证据链，以确认补丁阻断了漏洞利用并保留了预期行为。作者使用 BackportBench 基准测试（包含 128 个回溯任务）进行评估，VeriPort 成功解决了 95.3% 的任务，比现有最佳方案 Claude Code 高出 22.7 个百分点。此外，研究团队将 VeriPort 部署在 169 个高/严重等级 CVE 上，生成了超过 5000 个经过验证的回溯补丁。更重要的是，VeriPort 还发现了 2100 个版本被错误报告为受影响，以及 127 个之前未被识别的脆弱版本（涉及 92 个公告），其中 23 个公告已在上游得到修正（删除了 387 个错误版本，新增了 81 个正确版本）。该论文适合安全工程师、开源维护者和依赖管理工具开发者阅读。