论文验证构建源码而非依赖注册表可阻断绝大多数软件供应链攻击

该研究通过对比分析 npm 和 PyPI 生态系统中的近 4.7 万个恶意包与超过 3300 个真实样本，证实了“构建自源码”策略在防止恶意软件方面的有效性。研究发现，恶意包倾向于不标注源码以隐藏踪迹，而良性包则更可能提供可构建的仓库链接；仅通过检查是否存在可构建的源码链接，就能在 87.7% 至 99.9% 的情况下阻止恶意代码执行，具体效果取决于对源码的验证程度。

数据细节揭示了当前开源生态的透明度危机：在被分析的良性包中，仅有 47.4% 提供了用户可直接构建的源码链接。作者构建了包含 390 万个 npm 包和 76.4 万个 PyPI 包的快照索引，并聚合了来自四个学术数据集和一个行业数据集的恶意样本进行基准测试。结果显示，这种基于来源属性的过滤方法在检测率上显著优于现有的最先进安全扫描器，且无需复杂的静态分析或动态沙箱环境。

这一发现暗示软件供应链安全的范式可能需要从依赖注册表提供的便利转向更严格的源码溯源机制。事实层面确认了恶意包缺乏源码链接的高相关性；推断层面表明现有工具过度依赖注册表元数据而忽视了源码可见性这一关键指标；猜测层面认为若开发者普遍采用源码构建模式，将迫使恶意攻击者付出更高的隐蔽成本，但同时也可能增加开发者的构建复杂度。