Viabilidad de Remediación de Dependencias Vulnerables en Ecosistemas OSS

Una dependencia vulnerable no queda remediada solo porque se conozca su severidad. La existencia de un fix utilizable, la preparación del proyecto consumidor para adoptarlo y el contexto de mantenimiento de la dependencia upstream pueden influir en cuándo la remediación es posible y cuándo ocurre realmente.

Mi dirección actual de tesis pregunta si las señales históricas de mantenimiento upstream aportan información prospectiva útil sobre el tiempo de remediación más allá de las características de la vulnerabilidad, la remediación y el proyecto consumidor.

¿En qué medida las señales de mantenimiento de la dependencia upstream mejoran la predicción de la latencia de remediación de dependencias vulnerables más allá de las características de la vulnerabilidad, la remediación y la preparación del proyecto consumidor?

Esta es la pregunta de trabajo actual, no una conclusión congelada. La redacción exacta y el reloj del outcome siguen en validación mientras compruebo si los datos permiten hacer la comparación sin leakage temporal.

El diseño candidato compara conjuntos de evidencia anidados: M0 parte de características de vulnerabilidad y remediación, M1 agrega preparación del proyecto consumidor y M2 agrega señales de mantenimiento upstream. La pregunta útil es si M2 aporta valor incremental estable bajo validación fuera de muestra temporal. La familia de modelos final no está seleccionada de antemano.