Faster Releases, Fewer Risks: A Study on Maven Artifact Vulnerabilities and Lifecycle Management
本研究分析10,000个Maven制品的发布历史，发现发布速度与依赖过时程度及CVE数量呈负相关，强调加速发布策略对降低安全风险的重要性。
2025-03-31 cs.SE
Towards Compatibly Mitigating Technical Lag in Maven Projects
针对Maven项目依赖升级中技术滞后与兼容性风险难以平衡的问题，提出新型工具LagEase，在减少技术滞后的同时避免破坏性变更和臃肿依赖，实验证明其优于Dependabot。
2025-04-02 cs.SE
On the Use of Refactoring in Security Vulnerability Fixes: An Exploratory Study on Maven Libraries
第三方库依赖在当今的软件开发中是司空见惯的。随着安全漏洞的威胁日益严重，及时应用安全补丁对保护软件系统至关重要。因此，社区开发了一个软件和硬件弱点列表，称为常见弱点枚举（CWE），以评估漏洞。以前的工作已经揭示了维护活动（如重构代码）可能与源代码中与安全相关的方面相关。在这项工作中，我们探讨重构和安全性之间的关系，通过分析在实践中执行的重构动作与漏洞修复。我们进行了一个案例研究，分析了143个maven库，其中351个已知漏洞已被检测和修复。令人惊讶的是，我们的探索性结果显示，开发人员在他们的修复中包含重构操作，其中31.9%（351个中的112个）的漏洞与重构操作配对。我们设想这篇简短的论文开辟潜在的新方向，以激励自动化工具支持，允许开发人员更快地交付修复，同时维护他们的代码。
2022-05-17 cs.SE
On the Effect of Transitivity and Granularity on Vulnerability Propagation in the Maven Ecosystem
重用软件库是现代软件工程的支柱。到2022年，平均每个Java应用程序依赖于40个第三方库。依赖这些库会使项目暴露于潜在的漏洞，并可能使应用程序及其用户处于危险之中。不幸的是，对软件生态系统的研究表明，受此类漏洞影响的项目数量正在增加。以前的调查通常会根据依赖关系级别来推断依赖关系，但我们认为这会大大增加受影响项目的实际数量。在这项工作中，我们研究了传递性和粒度对Maven生态系统中漏洞传播的影响。在我们的研究方法论中，我们收集了3 M最新Maven软件包的大型数据集。我们获得了这个数据集的完整的可传递依赖集，构建了整个程序调用图，并进行了可达性分析。这种方法允许我们识别实际上受到使用易受攻击的依赖关系影响的Maven包。我们的实证结果表明：（1）当且仅当所有的传递依赖都被考虑时，我们的数据集中大约1/3的包被识别为脆弱的。(2)只有不到1%的软件包在其依赖项中具有到易受攻击代码的可达调用路径，这远远低于基于依赖项的简单分析。(3)限制所解析的依赖关系树的深度可能是减少昂贵的细粒度（脆弱性）分析的计算时间的有用技术。我们讨论了我们的工作的影响，并为研究人员和从业人员提供可操作的见解。
2023-01-19 cs.SE
Maven-Hijack: Software Supply Chain Attack Exploiting Packaging Order
KTH Royal Institute of Technology（皇家理工学院）；Universtité de Montréal（蒙特利尔大学）
本文提出利用Maven依赖打包顺序和JVM类解析机制的新型供应链攻击Maven-Hijack，通过真实项目验证可行性，并评估得出带重复类检测的Maven Enforcer插件是当前最实用有效的防御方案。
2025-10-29 cs.CR cs.SE
AROMA+: A Study of Factors Affecting Reproducible Builds in the Maven Ecosystem
BGSU（鲍尔格林州立大学）
本研究针对Maven生态系统可复现构建研究不足的问题，开发工具AROMA+自动获取相关信息，准确率达99.8%，实现32%软件包自动可复现，贡献部分软件包至Reproducible Central并公开数据集与工具。
2026-08-28 cs.SE
Understanding Abandonment and Slowdown Dynamics in the Maven Ecosystem
本文研究 Maven 生态系统中库弃用的普遍性与动态，揭示约四分之一库未能存活超过创建年份，并发现缓慢发布与长期停滞是弃用前兆，但部分弃用库后期会出现高频发布爆发，为风险识别与缓解提供新见解。
2025-02-06 cs.SE
Modeling Library Dependencies and Updates in Large Software Repository Universes
第三方开源软件（OSS）的流行（重用）证明了托管存储库（如maven）对当今软件开发的影响。更新库至关重要，最近的研究强调了与老化的OSS库相关的漏洞。迁移到更新的库的决定可能是微不足道的（安全威胁），也可能是复杂的（评估适应更改所需的工作）。通过利用“智慧的软件库人群”，我们提出了一个简单而有效的方法来推荐“同意”库更新。我们的Software Universe Graph（SUG）对库依赖性进行建模，并从超级存储库中挖掘更新信息，以提供不同的度量和可视化，帮助做出更新决策。为了进行评估，我们首先从6，374个maven独特工件的188，951个节点构建了一个SUG。然后，我们将展示如何通过真实世界的例子来应用我们的指标和可视化。作为扩展，我们展示了SUG如何比较不同超级存储库之间的依赖关系。从100个GitHub应用程序的样本中，我们的方法发现，平均79%相似的重叠依赖组合存在于maven和github超级存储库世界之间。
2017-09-14 cs.SE
A Comprehensive Study of Bloated Dependencies in the Maven Ecosystem
本研究针对Maven生态的臃肿依赖问题，提出DepClean工具分析依赖，发现75.1%的依赖为臃肿依赖，且开源开发者普遍愿意接受移除臃肿依赖的拉取请求。
2020-01-21 cs.SE
Maven-Lockfile: High Integrity Rebuild of Past Java Releases
KTH Royal Institute of Technology（皇家理工学院）；Université de Montréal（蒙特利尔大学）
针对Java生态核心包管理器Maven无原生lockfile支持的问题，提出Maven-Lockfile工具，可生成含全依赖校验和的锁文件，支持历史版本高完整性复现构建与篡改检测，助力Java软件供应链安全研究。
2025-10-06 cs.CR cs.SE
The Ripple Effect of Vulnerabilities in Maven Central: Prevalence, Propagation, and Mitigation Challenges
本研究分析了 Maven Central 生态系统中漏洞的普遍性、传播与缓解挑战，发现约 46.8% 的版本受传递性漏洞影响，且漏洞修复常耗时数年，凸显了改进依赖管理与及时修复漏洞的必要性。
2025-04-05 cs.SE
Tracing Vulnerabilities in Maven: A Study of CVE lifecycles and Dependency Networks
本文结合 Maven 依赖图分析 3,362 个 CVE 生命周期、GitHub 指标与维护者响应时间，揭示“先发布后修补”趋势及影响风险包的关键因素。
2025-02-16 cs.SE
Dependency Dilemmas: A Comparative Study of Independent and Dependent Artifacts in Maven Central Ecosystem
针对Maven Central生态系统中独立构件未被探索的问题，本研究通过分析65万余个构件，揭示了独立构件的重要性、优势及可维护性问题，为开发和维护提供了参考。
2025-04-16 cs.SE
Cross-ecosystem categorization: A manual-curation protocol for the categorization of Java Maven libraries along Python PyPI Topics
本研究针对不同软件生态系统类别名称不统一、难以跨生态比较库数据集的问题，设计了一套人工引导的通用分类协议，参照PyPI主题对256个有严重漏洞的Java/Maven库分类，验证了可行性，为跨生态实证研究的机器学习提供基准真值。
2024-03-10 cs.CR cs.SE
A Comparative Study of Vulnerability Reporting by Software Composition Analysis Tools
背景：现代软件使用许多第三方库和框架作为依赖项。这些依赖关系中的已知漏洞是潜在的安全风险。因此，软件组合分析（SCA）工具越来越多地被从业者采用，以跟踪脆弱的依赖关系。目的：本研究的目标是了解不同SCA工具在漏洞报告方面的差异。了解现有SCA工具在分析方面是否存在差异以及差异如何，可以帮助安全从业人员选择正确的工具并确定未来的研究需求。方法：我们通过比较9个行业领先的SCA工具对一个大型Web应用程序OpenMRS的分析报告，提出了一个深入的案例研究，OpenMRS由Maven（Java）和npm（JavaScript）项目组成。结果：我们发现这些工具在漏洞报告方面各不相同。在所研究的工具中，Maven报告的脆弱依赖项的数量从17到332不等，npm项目从32到239不等。同样，Maven工具报告的已知漏洞数量从36到313不等，npm项目从45到234不等。我们对工具结果的手动分析表明，漏洞数据库的准确性是SCA工具的关键区别。结论：我们建议从业者目前不应依赖任何单一工具，因为这可能导致遗漏已知漏洞。我们指出了SCA领域的两个研究方向：i）建立框架和指标来识别依赖漏洞的误报; ii）构建自动化技术来持续监控来自开源包生态系统的漏洞数据。
2021-09-01 cs.SE
On the Freshness of Pinned Dependencies in Maven
Carnegie Mellon University（卡内基梅隆大学）
研究提出Pin-Freshener方法，通过众包测试提升依赖项升级的安全性，减少安全漏洞风险。
2025-12-19 cs.SE
API Beauty is in the eye of the Clients: 2.2 Million Maven Dependencies reveal the Spectrum of Client-API Usages
Hyrum定律指出了软件行业的一个常见现象：“有了足够数量的API用户，你在合同中承诺什么并不重要：你的系统的所有可观察行为都将被某人所依赖。与此同时，最近的研究结果似乎与这一观察相矛盾，他们指出“对于大多数API，实际使用的功能数量很少”。我们调查了行业观察和研究文献之间的这种看似矛盾的现象，并在一个单一的生态系统中对客户端API关系进行了大规模的实证研究：Maven Central。我们研究了Maven Central中最流行的94个库，以及声明了对这些库的依赖关系并在Maven Central中可用的829，410个客户端工件，总计220万个依赖关系。我们的分析表明，存在广泛的API使用，有足够的客户端，大多数API类型最终至少被使用一次。我们的第二个关键观察是，对于所有库，有一小部分API类型被其绝大多数客户端使用。这项研究的实际结果是双重的：（i）API维护者有可能找到他们可以集中精力的API的基本部分;（ii）API开发人员应该将公共API元素限制在他们准备好拥有用户的功能集上。
2021-10-19 cs.SE
Software Supply Chain Smells: Lightweight Analysis for Secure Dependency Management
KTH Royal Institute of Technology（皇家理工学院）；Université de Montréal（蒙特利尔大学）
本文提出软件供应链异味概念，设计评估Dirty-Waters工具，通过实证研究揭示Maven和NPM生态中依赖项安全问题的差异。
2026-03-30 cs.CR cs.SE
On the Security Blind Spots of Software Composition Analysis
针对软件成分分析中因代码克隆、遮蔽产生的隐藏依赖漏洞检测难题，提出轻量级Maven仓库漏洞克隆检测方法，检出数百个现有SCA工具遗漏的漏洞，推动多个CVE条目更新。
2023-10-09 cs.SE
How Deep Does Your Dependency Tree Go? An Empirical Study of Dependency Amplification Across 10 Package Ecosystems
Auburn University（奥本大学）
本研究通过分析10个软件生态系统的依赖放大现象，发现Maven的平均放大率显著高于其他生态系统，揭示了依赖管理对供应链安全的影响。
2025-12-12 cs.SE
Augmenting Software Bills of Materials with Software Vulnerability Description: A Preliminary Study on GitHub
本文针对SBOMs缺乏软件漏洞信息的问题，提出用项目依赖项暴露的CVE信息增强40个开源项目的SBOMs，并通过提交pull requests和问卷调查进行评估，反馈表明该方法具有实用价值。
2025-05-27 cs.SE
An Empirical Study on Software Bill of Materials: Where We Stand and the Road Ahead
软件供应链攻击的快速增长引起了人们对软件物料清单（SBOM）的极大关注。SBOM是确保软件供应链透明度的关键构件，有助于提高软件供应链安全性。虽然学术界和工业界为促进SBOM的发展做出了重大努力，但目前仍不清楚从业人员如何看待SBOM以及在实践中采用SBOM的挑战是什么。此外，现有的SBOM相关的研究往往是特设的，缺乏软件工程的重点。为了弥补这一差距，我们进行了第一次实证研究，采访和调查SBOM从业人员。我们采用定性和定量相结合的方法，从来自五大洲15个国家的17名受访者和65名调查受访者中收集数据，以了解从业者如何看待SBOM领域。我们总结了26个声明，并将其分为三个主题的SBOM的实践状态。根据研究结果，我们得出了一个目标模型，并强调了未来的方向，从业者可以把他们的努力。
2023-02-07 cs.SE
Breaking Bad? Semantic Versioning and Impact of Breaking Changes in Maven Central
就像任何软件一样，库会不断发展，以包含新功能、错误修复、安全补丁和重构。然而，当一个库发展时，它可能会通过在其API中引入破坏性更改（Breaking Changes，BC）来打破以前与客户建立的合同。这些更改可能会在客户端代码中触发编译时、链接时或运行时错误。因此，客户端可能会犹豫是否要升级其依赖项，从而引发安全问题，并使未来的升级更加困难。了解库如何演变有助于客户端开发人员了解哪些更改以及在何处进行更改，库开发人员也可以了解这些更改可能对客户端产生的影响。在迄今为止最广泛的研究中，Raemaekers等人调查了托管在Maven Central Repository（MCR）上的Java库的开发人员在多大程度上遵循语义版本控制约定，以表明BC的引入以及这些变化如何影响客户端项目。他们的研究结果表明，BC是普遍的，而不考虑语义版本，对客户端的显着影响。在本文中，我们进行了外部和差异化的复制研究，他们的工作。我们确定并解决了原始协议的一些局限性，并将分析扩展到一个新的语料库，跨越七年的MCR。我们还提出了一种新的静态分析工具，Java字节码，Maracas，它为我们提供了：（i）两个版本的库之间的所有BC的集合;和（ii）在客户端代码中的位置的一组受个别BC的影响。我们的主要发现来自对119879个库升级和293817个客户端的分析，与最初的研究形成对比，并显示这些升级中有83.4%…
2021-10-15 cs.SE
A Longitudinal Analysis of Bloated Java Dependencies
我们研究了一个单一的软件生态系统中臃肿的依赖关系的演变和影响：Java/Maven。膨胀的依赖项是打包在应用程序二进制文件中但运行应用程序不需要的第三方库。我们分析了435个Java项目的历史。这些历史数据包括48，469个不同的依赖项，我们研究了总共31，515个版本的Maven依赖树。膨胀的依赖关系随着时间的推移而稳步增加，并且89.02%的膨胀的直接依赖关系在所研究项目的所有后续版本中仍然膨胀。这一经验证据表明，开发人员可以安全地删除臃肿的依赖。我们进一步报告了关于膨胀引起的不必要的维护工作的新见解。我们发现，开发人员执行的依赖更新中有22%是在膨胀的依赖上进行的，而Dependabot建议在膨胀的依赖上进行类似的更新。
2021-05-29 cs.SE
A Landscape Study of Open Source and Proprietary Tools for Software Bill of Materials (SBOM)
本文对软件物料清单（SBOM）的开源与专有工具进行了广泛的实证分析，评估了涵盖84款工具的当前市场现状，识别了软件供应链安全中的新兴用例及SBOM技术的差距，为工具改进提供了参考。
2024-02-17 cs.SE
Policy-driven Software Bill of Materials on GitHub: An Empirical Study
本研究通过挖掘GitHub软件仓库，分析政策驱动型软件物料清单（SBOM）的现状，发现热门仓库中仅0.56%含此类SBOM，其依赖项存在2202个唯一漏洞、22%缺许可信息，为SBOM助力安全评估与许可管理提供参考。
2025-09-01 cs.SE
Wild SBOMs: a Large-scale Dataset of Software Bills of Materials from Public Code
针对缺乏基于真实SBOM文件的大规模实践研究的问题，本文构建了含7.8万余个去重SBOM文件的Wild SBOMs数据集，附带多类元数据，并给出相关研究建议。
2025-03-19 cs.SE
Challenges of Producing Software Bill Of Materials for Java
本文研究了6款工具为复杂开源 Java 项目生成软件物料清单（SBOM）的准确性，揭示了在准确生成和使用 SBOM 方面面临的严峻挑战。
2023-06-07 cs.CR cs.SE
Chain-of-Experts (CoE): Reverse Engineering Software Bills of Materials for JavaScript Application Bundles through Code Clone Search
针对JavaScript应用程序束逆向生成SBoM的挑战，本文提出多任务深度学习模型Chain-of-Experts (CoE)，通过代码分割、分类和克隆检索三个任务，首次为真实世界JavaScript应用束的SBoM生成提供了可扩展、高效且端到端的解决方案。
2024-08-29 cs.SE
BOMs Away! Inside the Minds of Stakeholders: A Comprehensive Study of Bills of Materials for Software Systems
本文通过调查138名从业者并访谈8名受访者，系统识别了软件物料清单（SBOM）创建与使用中的12项主要挑战，并提出4个可操作的解决方案，为SBOM的未来研究和实践发展指明方向。
2023-09-22 cs.SE
A Dataset of Software Bill of Materials for Evaluating SBOM Consumption Tools
本文构建并公开了一个包含46个经自动与手动修正、符合SPDX Lite规范的Java项目SBOM数据集，用于评估SBOM消费工具并揭示生成工具问题。
2025-04-09 cs.SE
The Software Heritage Graph Dataset: Large-scale Analysis of Public Software Development History
Software Heritage是现存最大的软件源代码及其开发历史的公共档案。它涵盖了超过50亿个独特的源代码文件和10亿个独特的提交，来自8000多万个软件项目。这些软件工件是从主要的协作开发平台（例如，GitHub、GitLab）和包存储库（例如，PyPI，Debian，NPM），并存储在一个统一的表示链接在一起的源代码文件，目录，提交，和版本控制系统（DRM）存储库的完整快照，如软件遗产在定期爬网期间观察。这个数据集在可访问性和规模方面是独一无二的，并且允许探索公共软件开发长尾上的许多研究问题，而不是像经常发生的那样仅仅关注“最受欢迎”的存储库。
2020-11-16 cs.SE
Breaking Changes in Software Ecosystems: A Systematic Literature Review
The University of Melbourne（墨尔本大学）；Sun Yat-sen University（中山大学）
本文通过系统文献综述，对软件生态系统中破坏性变更的类别、原因、检测方法和应对策略进行了全面综合，并指出了行为变更检测、语义版本控制失效和传递依赖传播等挑战，以及LLM增强行为契约推断等研究机会。
2026-05-23 cs.SE
Software Bill of Materials in Software Supply Chain Security A Systematic Literature Review
本文通过系统性文献综述分析40项研究，梳理SBOM在软件供应链安全中的五大应用领域、十一类采用障碍及其与ISO/IEC 25019质量模型的映射关系，并指出机器学习与质量保证技术应用不足等研究空白。
2025-06-05 cs.CR cs.SE
Implementing AI Bill of Materials (AI BOM) with SPDX 3.0: A Comprehensive Guide to Creating AI and Dataset Bill of Materials
本文提出了一种扩展SBOM的AI-BOM方法，用于记录AI项目中算法、数据收集方法及合规信息，以提高透明度和安全性。
2025-04-23 cs.AI cs.CR cs.SE
Demystifying the Evolution of Neural Networks with BOM Analysis: Insights from a Large-Scale Study of 55,997 GitHub Repositories
针对神经网络软件演化分析缺乏适用物料清单的问题，提出NNBOM数据集，基于55,997个PyTorch仓库构建数据库，实证研究规模、复用与依赖演化，并开发两个原型应用。
2025-09-24 cs.SE
Towards Understanding Third-party Library Dependency in C/C++ Ecosystem
第三方库（TPL）经常在软件中重用，以降低开发成本和上市时间。但是，外部库依赖性可能会在主机应用程序中引入漏洞。图书馆的依赖性问题已经引起了相当大的关注。许多包管理器，如Maven，Pip和NPM，被提议用于管理TPL。此外，大量的努力已经投入到研究语言生态系统中的依赖关系，如Java，Python和JavaScript（C/C++除外）。由于缺乏统一的C/C++包管理器，现有的研究对C/C++生态系统中的TPL依赖了解甚少，特别是在大规模的情况下。为了深入理解C/C++生态系统中的TPL依赖，本文收集了现有的TPL数据库、包管理工具和依赖检测工具，总结了C/C++项目的依赖模式，构建了一个全面而精确的C/C++依赖检测器。使用我们的检测器，我们从GitHub上包含24 K C/C++存储库的大型数据库中提取依赖关系。基于提取的依赖关系，我们提供了实证研究的结果和发现，其目的是了解第三方物流的依赖关系的特点。我们进一步讨论了C/C++依赖管理的意义以及未来软件工程研究人员和开发人员在库开发、软件组合分析和C/C++包管理等领域的研究方向。
2022-09-20 cs.SE
Towards Predicting Multi-Vulnerability Attack Chains in Software Supply Chains from Software Bill of Materials Graphs
University of Colorado Colorado Springs (UCCS)（科罗拉多大学科罗拉多斯普林斯分校 (UCCS)）
本文提出基于SBOM图学习的方法，通过构建异构图预测软件供应链中的多漏洞攻击链，验证结果显示模型在识别漏洞关联和预测攻击链方面具有高准确率。
2026-07-17 cs.CR cs.LG cs.SE
Trust in Software Supply Chains: Blockchain-Enabled SBOM and the AIBOM Future
本文针对SBOM共享中的数据篡改和披露顾虑，提出区块链赋能的可验证凭证选择性披露架构，并将SBOM扩展至AI系统提出AIBOM概念，以保障现代关键基础设施中软件与AI供应链的安全。
2024-01-18 cs.SE
Mind the Gap: How SBOM Specification Ambiguities Lead to Divergent Software Bills of Materials. An Empirical Tool Study
Univ. Rennes, Inria, CNRS, IRISA（雷恩大学、法国国家信息与自动化研究所、法国国家科学研究中心、IRISA）
本研究通过评估三种SBOM生成器在3000多个项目上的表现，揭示其差异主要源于规范歧义而非实现错误，并呼吁未来标准明确依赖范围、来源和表示规则以提升合规性。
2026-09-18 cs.CR cs.SE
Call Graph Evolution Analytics over a Version Series of an Evolving Software System
Indian Institute of Information Technology (IIIT), Dharwad（达尔瓦德印度信息技术学院）
本文提出基于调用图演化规则和演化子图的调用图演化分析方法，从软件版本序列中挖掘依赖共现与模式演化，以识别潜在受影响依赖，并在10个大型系统上验证其有效性。
2022-10-15 cs.AI cs.LG cs.SE
Hidden Dependencies and Component Variants in SBOM-Based Software Composition Analysis
Victoria University of Wellington（惠灵顿维多利亚大学）
本文研究了SBOM基础软件组成分析中隐藏代码级依赖和无法一致识别的组件变体问题，揭示了当前SBOM生产与消费的局限性，推动了更丰富的依赖表示和组件身份定义。
2026-04-23 cs.SE
OmniBOR: A System for Automatic, Verifiable Artifact Resolution across Software Supply Chains
本文提出OmniBOR系统，通过构建制品依赖图追踪软件依赖，结合编译器和构建追踪两种实现方式，有效支持CVE检测与SBOM计算，保障软件供应链安全。
2024-02-14 cs.CR cs.SE
SBOM.EXE: Countering Dynamic Code Injection based on Software Bill of Materials in Java
本文提出 SBOM.EXE 系统，通过基于 Java 应用完整软件供应链构建运行时类白名单，阻止恶意或篡改类执行，并在 3 个真实开源应用中验证其能以极小性能开销有效缓解动态类加载攻击。
2024-06-28 cs.CR cs.SE
Cascaded Vulnerability Attacks in Software Supply Chains
University of Colorado Colorado Springs (UCCS)（科罗拉多大学科泉分校）
本文提出基于SBOM的异构图注意力网络，用于检测软件供应链中的级联漏洞链。
2026-01-28 cs.SE
Building an Open AIBOM Standard in the Wild
Queen’s University（女王大学）；ADAPT Centre, Trinity College Dublin（ADAPT中心，都柏林三一学院）；IEEE（电气电子工程师学会）；The Linux Foundation（Linux基金会）
本文通过行动研究方法，在真实环境中构建了AIBOM规范，旨在为人工智能系统提供开放的标准框架。
2026-02-22 cs.SE
Quantitative Toolchain Assurance
本文提出过程约简技术，构建定量工具链保证案例，以约简强度衡量工具链强度，弥补SBOM和SLSA在过程质量定量评估上的不足。
2023-08-30 cs.SE
Operationalising Artificial Intelligence Bills of Materials (AIBOMs) for Verifiable AI Provenance and Lifecycle Assurance
本文提出了一种扩展CycloneDX标准的AIBOM框架，用于捕捉AI特定的溯源、模型血统和披露元数据，通过结构化架构工程、密码学验证和智能体驱动自动化，实现可验证的软件溯源，展示了98.7%的可重复性保真度、96.2%的漏洞匹配精度和63%的手动监督减少，验证了自动化溯源保证和可重复AI生命周期验证的可行性。
2026-03-17 cs.AI cs.CR cs.LG
LGBTQIA+ (In)Visibility in Computer Science and Software Engineering Education
现代社会是多元的、多文化的和多方面的。由于这些特点，我们目前观察到关于不同领域的公平，多样性和包容性的辩论有所增加，特别是因为一些群体在许多环境中代表性不足。在计算机科学和软件工程中，这些领域负责为全球数十亿用户创建技术解决方案和系统，但却没有反映出它所服务的社会的多样性，这似乎是违反直觉的。为了解决软件行业的多样性危机，研究人员开始研究可用于增加学术界和软件行业多样性和包容性的策略。然而，计算机科学和相关课程，包括软件工程，缺乏多样性仍然是一个问题，特别是考虑到一些特定群体时。例如，LGBTQIA+学生面临着适应技术课程的几个挑战，尽管现在大学里的大多数学生属于Z世代，他们被描述为对性别和性行为持开放态度。在这项研究中，我们的目的是讨论国家的艺术出版物纳入LGBTQIA+学生在计算机科学教育。使用映射研究，我们确定了在过去六年中发表的八项研究，重点关注这一公众。我们目前制定的战略，以适应课程和讲座，以更具包容性的LGBTQIA+学生，并讨论未来研究的挑战和机遇
2023-03-10 cs.SE
On the Way to SBOMs: Investigating Design Issues and Solutions in Practice
本研究通过分析510个项目的4786条GitHub讨论，揭示了SBOM实践中的关键主题、挑战与解决方案，并评估了常用生成工具，强调其在增强供应链安全中的关键作用。
2023-08-30 cs.SE
A Survey on Mapping Digital Systems with Bill of Materials: Development, Practices, and Challenges
University of New South Wales（新南威尔士大学）
本文调查了通过物料清单映射数字系统的现状，探讨了BOM框架的发展、实践及面临的挑战，并指出了未来研究的方向。
2026-01-16 cs.CR cs.NI cs.SE
Interface-Variant Dynamics in Software Ecosystems: Resolver-Induced Selection and Adoption in Package Graphs
Bahçeşehir University（巴切希尔大学）
研究接口变体在分布式包图中的传播机制，通过挖掘历史、执行解析器探测并估计选择系数，发现解析器证据可预测采纳方向但无法闭环。
2026-07-01 cs.DC cs.SE
TAIBOM: Bringing Trustworthiness to AI-Enabled Systems
针对AI系统特征难以被现有SBOM框架捕捉、软件供应链可信保障不足的问题，提出TAIBOM框架，扩展SBOM至AI领域，提供结构化依赖模型等能力，优于现有标准，为可信可验证AI系统奠基。
2025-10-02 cs.CR cs.SE
Blockchain-Enabled Accountability in Data Supply Chain: A Data Bill of Materials Approach
Data61, CSIRO（澳大利亚联邦科学与工业研究组织Data61研究院）；IM&T, CSIRO（澳大利亚联邦科学与工业研究组织IM&T部门）
针对AI时代数据供应链的可追溯与问责难题，本研究提出DataBOM概念并构建区块链支撑的服务平台，通过元数据记录数据依赖关系，经案例与定量分析验证了方案的可行性与性能。
2024-08-16 cs.LG cs.SE
