paperbot · PL 论文追踪

全部论文 待读 收藏

P2 Software Supply Chain Risk: Characterization, Measurement & Attenuation

软件供应链风险：刻画、度量与缓解
ASE Proceedings of the 39th IEEE/ACM International Conference on Automated Software Engineering2024匹配度 2/10 · 论文主题为开源软件供应链风险、SBOM 与安全治理，属于安全与隐私方向；摘要未涉及静态分析、LLM/Agent、浮点程序分析或贝叶斯程序分析，与用户研究画像的核心问题关联很弱。引用 0 inbox
Alexis Butler
安全与隐私
crossref: 2026-09-12

AI 速览

一句话：围绕开源软件供应链风险展开刻画、度量与缓解研究，并呼应强制采用 SBOM 的行业与政策趋势。

随着开源软件被加速采用，由其引入的安全漏洞案例不断增多，如 Log4J 任意代码执行、XZ-utils 引入 OpenSSH 后门以及 Polyfill CDN 被接管，使得软件供应链可观测性需求日益迫切。这一问题已受到产业界与政府部门的共同关注，并出现了强制采用软件物料清单（SBOM）的呼吁。论文以软件供应链风险为对象，从刻画、度量到缓解三个层面展开研究，旨在系统性地理解开源依赖所带来的安全风险，并探索以 SBOM 为代表的可观测性机制在风险发现与衰减中的作用。摘要侧重问题背景与需求，具体技术方法与评估细节未充分展开。

问题
开源软件广泛复用导致供应链安全漏洞频发，现有供应链可观测性不足，难以系统刻画与度量相关风险。
方法
论文从刻画、度量与缓解三个层面研究软件供应链风险，并围绕 SBOM 等可观测性机制的采用展开工作。
评估
摘要以 Log4J、XZ-utils、Polyfill CDN 等真实漏洞案例说明风险现实性；具体评估方式未在摘要中详述。
原文摘要（Abstract）

With the accelerating adoption of open source software, and an ever-growing body of case studies of security vulnerabilities being introduced by said open source software (Log4J arbitrary code execution, OpenSSH backdoor by way of XZ-utils, and the Polyfill CDN take over), the need for supply chain observability has become increasingly urgent. This need has been acknowledged by both industry and government, with calls to enforce the adoption of Software Bills of Materials (SBOMs).

链接与引用

DOI 原文 ·

BibTeX 
@inproceedings{paperbot8378,
  title = {Software Supply Chain Risk: Characterization, Measurement & Attenuation},
  author = {Alexis Butler},
  booktitle = {ASE},
  year = {2024},
  doi = {10.1145/3691620.3695608}
}