이 연구는 소스 코드 중심으로 이뤄지는 파이썬 패키지 보안 점검의 사각지대인 바이트코드(.pyc 파일 등)를 실증적으로 분석했다. PyPI에서 수집한 103만4843개 아티팩트 중 7,388개가 바이트코드를 포함했고, 이 중 2만8193개는 소스 없이 바이트코드만 존재하는 파일이었다. CPython 3.8~3.14 바이트코드 20만4904개 중 20만4901개는 디컴파일러가 소스를 출력했지만, 이는 단순 출력 여부일 뿐 기능적 동일성을 검증한 것은 아니었다. 실제 PyPI 바이트코드와 변조된 적대적 바이트코드를 도구에 입력하자 예외·타임아웃·네이티브 프로세스 충돌 등 17가지 강건성 문제가 나타났고, 퍼징으로 1,009건의 런타임 결함(그중 261개 그룹은 메모리 손상 가능성)을 발견했는데 이 중 어느 것도 일반 파이썬 소스로는 재현되지 않았다.

• •PyPI 아티팩트 103만4843개 중 7,388개가 바이트코드 포함, 2만8193개는 소스 없는 순수 바이트코드
• •CPython 3.8~3.14 바이트코드 대부분은 디컴파일 가능하나 기능적 동일성은 미검증
• •실제·변조 바이트코드 입력 시 17가지 강건성 문제(예외·타임아웃·네이티브 충돌) 발생
• •퍼징으로 런타임 결함 1,009건 발견(261개 그룹 메모리 손상 가능성), 소스코드로는 재현 불가