arXiv投稿の9割に機密情報混入、270万件のソース調査で判明

学術論文のプレプリントサーバとして機能する「arXiv」では、公開されたPDFの裏で、論文の再現性や再利用性を担保するためにLaTeXのソースファイル（.tar.gz形式のアーカイブ）をそのまま一般公開する仕様を採用している。研究者が論文を投稿する際、図表データやスタイルファイル、ビルド用のスクリプトなどをまとめてアップロードするが、この圧縮ファイル内に論文本文には現れない機密情報や不要なローカルファイルが混入しているケースが極めて多い。今回の調査により、公開されたソースアーカイブの約9割において、何らかの非公開情報や意図しないデータがアクセス可能な状態で放置されている実態が明らかになった。

研究チームがarXivに登録された約270万件の論文ソースデータを対象に静的解析を実施したところ、検出された漏洩情報の種類は多岐にわたる。ソースコード内のコメントアウト部分に残された未公開の議論や、ローカル環境の絶対パス、さらにはクラウドサービスの認証情報までが含まれていた。以下は、調査によって検出された主な機密情報および不要データの分類と、その検出比率のサマリーである。

LaTeXのビルドプロセスでは、補助ファイル（.aux、.log、.outなど）が自動生成される。研究者がこれらのファイルをクレンジングせずにフォルダごと圧縮してarXivに送信することが、情報混入の主な要因となっている。特に、Gitなどのバージョン管理システムで「.gitignore」を用いて除外しているファイルであっても、手動でZIP化する際に巻き込んでしまうミスが多発している。この問題を防ぐため、投稿者はアップロード前に「latexmk -c」などのコマンドを用いてビルド生成物を削除するか、arXiv専用の送信パッケージ作成ツールを利用して、ソースコードと必要な画像ファイルのみを厳選してパッケージングする運用の徹底が求められる。