Hidden Amplifiers: Cross-Level Risk in Software Supply Chains

技術要約：ソフトウェア・サプライチェーンにおける隠れた増幅器とクロスレベルのリスク

問題提起
現代のソフトウェア・サプライチェーンは数百もの推移的依存関係に依存しているが、既存の分析ツールはサイロ化して動作している。すなわち、エコシステム・レベルのツール（例：Snyk、Dependabot）はコードを検査せずに依存関係グラフを分析し、コード・レベルのツール（例：静的解析器）はエコシステムの文脈を考慮せずにパッケージ内部を調査する。この分離は、以下の2つの決定的な失敗モードを生み出している。

1. 偽陽性のオーバーロード： SCAツールは、消費側のアプリケーションによって決して実行されないコードパス内の脆弱性を警告するため、開発者がアラートを無視し、真の脅威を見逃す原因となる。
2. 隠れた増幅器のブラインドスポット： 極めて単純なコード構造を持ちながら、膨大なエコシステムへの到達度を持つマイクロ依存関係（例：829,000の依存先を持つms）は、過大な構造的リスクを担っている。これらのパッケージは既知のCVEを持たず、コードも単純であるため、SCAおよびコード品質ツールの両方から不可視の状態にある。

手法：クロスレベル・リスク・フレームワーク
著者らは、コード・レベルのメトリクスとエコシステム・レベルの露出を統一されたリスク式を通じて橋渡しするフレームワークを提案している。この手法は3つのレイヤーで構成される。

1. エコシステム分析 (レイヤー1)： パッケージ $p$ の「エコシステム露出」($\psi$) を算出する。これは deps.dev から取得されるファンイン（推移的な逆依存関係数）として定義される。このレイヤーでは、トリアージの文脈のために依存関係グラフをヘルス指標（OpenSSF Scorecard、libyears）および既知のCVEで強化する。
2. コード分析 (レイヤー2)： パッケージ内の各メソッド $m$ の「コード・レベル・リスク」($\phi$) を算出する。これは以下から導出される：
   • 循環的複雑度 ($c$)
   • パッケージ内コールグラフにおける媒介中心性 ($b$)
   • ブラスト半径（推移的に到達可能な被呼び出し関数） ($r$)
   • ギットのコミット頻度に基づく時間的チャーン係数 ($\tau$)
   • 信頼性ゲート： システムは内部解決率 ($R$) を計算してコールグラフの完全性を定量化し、高い動的ディスパッチ（$R < 0.85$）を持つパッケージを信頼性が低いとしてフラグを立てる。
3. クロスレベル合成 (レイヤー3)： これら2つの次元を、乗法モデルを用いて単一の「クロスレベル・リスク」(CLR) スコアに結合する：
   $$CLR(m) = \phi(m) \cdot f(\psi(pkg(m)))$$
   ここで、$f$ は単調減少関数（デフォルト：$\log_{10}(x+1)$）であり、高ファンインのパッケージがランキングを完全に支配することを防ぎつつ、そのリスクを増幅させる役割を果たす。

主な貢献

1. 統一リスクフレームワーク： メソッド・レベルのコード・メトリクスとエコシステム・レベルの依存関係露出を統合した数学的モデルを提供し、異なるパッケージ間のメソッドを直接比較することを可能にする。
2. マルチレイヤー・アーキテクチャ： npmおよびPyPIをサポートする16,000行のオープンソース・プロトタイプによって検証された、分解可能な分析パイプライン。
3. 「隠れた増幅器」の特定： メソッド数が50未満でありながら、依存先が50,000を超えるマイクロ依存関係というクラスを定義し、検出する。これらのパッケージは構造的に極めて重要であるが、現在のSCAツールからは不可視である。

評価結果
著者らは、高影響力のフレームワークやマイクロ依存関係を含む50個のパッケージ（npm 35個、PyPI 15個）のコーパスを用いてプロトタイプの評価を行った。

• 隠れた増幅器の検出： コーパスの24%（12個のパッケージ）が隠れた増幅器の条件を満たした。ms パッケージ（2017年にReDoS脆弱性を経験）の遡及的分析では、本フレームワークが構造的な位置のみに基づいて同パッケージを高リスクとしてフラグを立てられたことを示した。一方で、既存のSCAツールはアドバイザリが出るまでこれを検知できなかった。
• 優先順位付けの精度： 既知のCVEを持つ10個のルート・パッケージを用いた実現可能性調査において、クロスレベル・スコアリング（CLR）およびコードのみのスコアリング（CR）は、ファンインのみのスコアリング（FI）を大幅に上回った。具体的には、CLRおよびCRは、FIと比較してPrecision@Kを約2倍向上させた。
• ランキングの安定性： 本フレームワークは、単一レベルのツールにはない機能である、クロス依存関係のランキングを可能にする。コードのみのツールはパッケージ内のメソッドをランク付けできるが、CLRのみが、低複雑度・高依存度のパッケージ内のメソッドを、ニッチなパッケージ内の高複雑度メソッドと比較してランク付けできる。
• 信頼性： 分析されたパッケージの70%が内部解決率 ($R$) $\geq 0.85$ を達成しており、これは静的解析の高い信頼性を示している。システムは、実務者が信頼性を評価できるように $R$ を透明に報告する。

意義と主張
本論文は、コード品質ツールとエコシステム・レベルのSCAの間の現在の分離は、固有の境界ではなく設計上の限界であると主張している。これらのレベルを橋渡しすることで、提案されたフレームワークは以下を実現する：

• 現在のツールにおけるブラインドスポットに対処する、サプライチェーン・セキュリティのための新しい設計空間を切り開く。
• 脆弱性が公開される前に、構造的に重要なマイクロ依存関係を特定するメカニズムを提供する。
• コードを考慮したランキングが、エコシステムのみのアプローチよりも脆弱性の優先順位付けの精度を大幅に向上させることを実証する。

著者らは、現在の実装は依存関係内の到達性に焦点を当てており、完全なクロスパッケージ・コールグラフの構成は今後の課題であることを述べている。評価は実現可能性のデモンストレーションとして提示されており、選定されたコーパスが適切に管理されたパッケージを過剰に代表している可能性があることを認めている。