重访第三方库检测：基准数据集及其在安全任务中的影响
密码学与安全
2025-09-08 v2
摘要
第三方库（TPL）的精准检测是Android安全的基石，支持漏洞跟踪、恶意软件检测和供应链审计。尽管已提出许多工具，但其实际效果尚不明了。我们present首个大规模实证研究，评估十种最新TPL检测技术在6000多款应用上的表现，基于全新构建的基准数据集，该数据集为远程与本地依赖项提供精确的版本级注释。我们的评估暴露了工具对R8时代转换的脆弱性、版本辨识不足、候选库对应不准确、相似阈值泛化困难以及大规模运行时的内存/时间开销问题。除工具评估外，我们进一步分析TPL如何影响下游任务，包括漏洞分析、恶意软件检测、密钥泄露评估及LLM-based评估。从该视角出发，我们的研究为TPL特性如何影响这些任务提供了具体洞见，并为未来在安全分析领域的改进提供指导。
引用
@article{arxiv.2509.04091,
title = {Revisiting Third-Party Library Detection: A Ground Truth Dataset and Its Implications Across Security Tasks},
author = {Jintao Gu and Haolang Lu and Guoshun Nan and Yihan Lin and Kun Wang and Yuchun Guo and Yigui Cao and Yang Liu},
journal= {arXiv preprint arXiv:2509.04091},
year = {2025}
}
备注
20pages, 7figures