Context-Aware Functional Modeling for Android Third-Party Library Detection
Android 应用普遍复用第三方库（TPL），这既引入安全风险，也会干扰下游程序分析（如漏洞归属、隐私合规、SBOM 生成）。现有 Android TPL 检测方法存在两个关键局限：一是依赖手工特征，在激进代码变换（混淆、裁剪、优化）下极
#software-supply-chain
共收录 17 条相关情报。
← 返回所有主题Resource-Optimized and Energy-Aware Agentic AI Framework Anchored on Blockchain for Secure Software Supply Chains
该论文面向软件供应链安全，提出一个以区块链为信任锚、由 LLM 驱动的智能体（agentic AI）安全框架，目标是同时保护整个软件开发生命周期（SDLC）以及负责监控 SDLC 的那些 AI 智能体自身。核心问题有两层：第一，现代软件供应
KEVGraph: Exploitation-Aware Dependency Vulnerability Remediation
依赖扫描工具通常会报出成百上千个漏洞，却基本不提供"可利用性感知"的排序，导致安全团队只能凭直觉决定先升级哪个包。业界主流的做法是按 CVSS 严重度排序，但该研究与真实在野利用情况存在结构性错位：在作者构建的 npm 语料中，有 186
TrustBOM: A Scalable Architecture for Confidentiality-Preserving SBOMs Across Organizations
该论文聚焦软件供应链治理中的一个现实矛盾:SBOM(软件物料清单)已成为企业架构中治理软件供应链的关键机制,但跨组织共享 SBOM 会暴露敏感的依赖信息(具体的第三方组件、版本、内部技术栈),出于商业机密与攻击面收敛的顾虑,供应商普遍不愿意
Adversarial Testing of Automated Program Repair Agents for Security Vulnerabilities
随着基于大语言模型（LLM）的软件智能体（Agent）被广泛用于自动化程序修复（Automated Program Repair, APR），未来 APR 智能体很可能在没有多少人工干预的情况下自动修复缺陷，这引出了一个关键问题：在此类场景
When Apps Outlive Vendors: Security Implications of IoT Abandonware
该论文聚焦物联网（IoT）领域一个长期被忽视但规模庞大的问题：厂商停止支持后仍在用户手机上运行、并持续与 IoT 设备交互的“伴侣 App”。作者将这类应用定义为 "IoT abandonware"（物联网弃置软件），并声称这是首个针对已停
Measuring the Security of the Evolving Software Supply Chain: a Research Agenda
软件供应链安全已成为现代软件工程中的核心关注点，因为现代软件对第三方依赖有着广泛依赖，且攻击面持续扩大。然而，现有的基于量化测量的分析方法和漏洞管理手段往往碎片化，并局限于特定生态系统（如npm、PyPI等），难以在跨环境之间提供可比较的风
VEX-Bench: Benchmarking LLM Agents for Assessing Exploitability of Software Supply Chain Vulnerabilities
软件供应链已成为日益暴露的攻击面，原因是其依赖关系复杂而脆弱。现有的防御工具（如 GitHub Dependabot）常常产生大量误报，因为它们的粗粒度匹配无法确定易受攻击的依赖项是否真正可利用。安全分析师通常需要花费大量时间逐案评估漏洞可
Do AI Coding Assistants Check Before They Install? A Pre-Registered Demand-Side Audit of Trust Signals in the Research Software Supply Chain
本研究针对AI编程助手在自动选择、安装和配置软件时是否利用供应链安全信号的问题，进行了预注册的受控实证审计。背景是攻击者已通过伪造包名、入侵维护者账号、篡改仓库文本等方式利用助手的能力实施攻击；供应链社区为此发布了机器可验证的信任信号，包括
Propagation Model for SSC attacks: Why SBOM (tools) don't tell the whole truth
该论文聚焦软件供应链（SSC）安全中的透明度问题，指出现代软件实践依赖的 SBOM（软件物料清单）及其工具虽然被引入作为确保供应链透明度的基础组件，但存在严重局限性：其漏洞检测与解释能力不足以说明可沿整条供应链传播的漏洞可利用性效应。为了弥
Poster: An Exploration of Large Language Models in Malicious Source Code Detection.
该论文提出了一种名为 Mal-LLM 的恶意源代码检测框架，旨在应对软件供应链中嵌入恶意代码的安全挑战。现有检测方法包括基于签名、行为分析和传统机器学习模型，但这些方法普遍缺乏结果的可解释性，难以向安全分析人员清晰解释为何某段代码被判为恶意
The Software Supply Chain as a Market for Lemons: A Multivocal Review of Trust Signal Collapse
该论文研究开源软件依赖评估中的信任信号可靠性问题。实践者通常使用廉价信号（如星标数、下载量、贡献者活跃度）作为直接代码审查的替代，假设这些信号能反映软件包的真实可信度。既有研究已记录个别信号被操纵，但尚未全面考察所有依赖采纳信号的系统性崩溃
The Rising Cost of Trust: Practitioners' Trust Signals, Controls, and Responses in the Software Supply Chain
这篇研究论文关注软件供应链中的信任问题，特别是随着AI生成依赖项等新威胁的出现，供应链信任正在受到侵蚀。作者通过对38名来自工业界和开源社区的从业者进行半结构化访谈，从社会学既有信任概念出发，采用主题分析法，研究从业者实际采用的信任信号、信
SCORED '22: ACM Workshop on Software Supply Chain Offensive Research and Ecosystem Defenses.
SCORED '22是ACM软件供应链攻防研究与生态防御研讨会（ACM Workshop on Software Supply Chain Offensive Research and Ecosystem Defenses）。该研讨会聚焦于
Not In My Git Yard: Catching Backdoors at Commit and Release Time
该论文针对开源软件供应链中代码级后门注入的威胁提出了一种自动化检测方法 Lily。代码级后门是一种隐蔽的代码改动，通过秘密触发器授予隐藏权限，难以被发现。此前针对广泛使用项目的后门注入尝试（如恶意提交、被篡改的发布包、受污染的第三方依赖）往
Dissertation Research Description: The Potential of SBOMs to Increase Software Supply Chain Security.
该研究论文探讨了软件物料清单（SBOM）在增强软件供应链安全方面的潜力。研究背景指出，软件供应链攻击日益频繁，如SolarWinds事件，凸显了透明度和可追溯性的缺失。核心问题是如何利用SBOM来识别和缓解供应链中的漏洞和风险。研究方法包括
VeriPort: Automated and Verified Patch Backporting at Scale
本文提出 VeriPort，一个端到端的自动化补丁回溯系统，旨在解决开源依赖中已知漏洞的修复难题。当前，安全补丁通常仅针对最新版本发布，开发者面临两难：要么升级到最新版本（可能引入破坏性变更），要么手动将补丁回溯到旧版本。现有回溯方案只能针