파일 수준의 복제(File-level copying)는 광범위하게 일어나지만 통제되지 않는 소프트웨어 재사용 형태입니다. 저장소(repository) 간에 파일을 복제하는 것은 공급망 가시성(supply-chain visibility)을 감소시킵니다. 즉, 패키지 관리자(package manager)가 선언된 의존성(declared dependency)에 대해 제공하는 네 가지 관찰 가능한 신호(출처(provenance), 유지보수(maintenance), 보안(security), 준수(compliance))를 복구할 수 있는 메커니즘 없이 제거해 버립니다. 이러한 관리되지 않는 재사용의 규모와 결과를 규명하기 위해, 우리는 World of Code (WoC)를 사용하여 전체 오픈 소스 생태계 전반에 걸친 복제에 대한 혼합 방법론 연구(mixed-method study)를 제시합니다. 0.1%의 커밋 샘플로부터 우리는 690,500개의 복제 이벤트(copy events)를 추출하였으며, 의도 라벨링(intent labeling)을 위해 근거를 포함하는 3,912개의 복제 커밋(rationale-bearing copy commits)을 유지했습니다. 우리는 벤더링된 의존성(vendored dependencies), 하드웨어/드라이버 동기화(hardware/driver synchronization), 스캐폴딩(scaffolding), UI 에셋(UI assets), 그리고 직접적인 소스 코드 재사용(direct source-code reuse)을 아우르는 13가지 축적된 복제 형태(axial copy forms)가 개발자 의도를 나타내는 신뢰할 수 있는 대리 지표(proxies)가 아님을 보여줍니다. 근거를 포함하는 커밋 중에서, 하드웨어/드라이버 복제는 주로 포크 유지보수(fork-maintenance) 작업(78%)인 반면, 의존성 벤더링(dependency-vendoring) 복제는 오프라인 가용성(offline availability)보다는 업스트림 우회(upstream bypass)를 나타내는 경우가 더 많습니다(70%). 이러한 가시성 격차는 형태별로 다르게 나타납니다. 보안 및 라이선스 위험은 상호 보완적인 복제 형태에 집중됩니다. 복제된 소스는 빈번하게 오래되었으며(중앙값 155일; 38.5%가 1년 이상 경과), 확인 가능한 버전(2.0%가 버전 관리됨)은커녕 복구 가능한 출처(4.3%가 문서화됨)를 기록하는 경우도 드뭅니다. 심지어 벤더링된 복제조차 출처를 기록하는 경우는 10%에 불과합니다. 보안 위험은 벤더링된 의존성에 집중됩니다: 전체 WoC 그래프에서 17,314개의 CVE 위험 복제 커밋이 발견되었으며, 그 중 88%가 의존성 벤더링 형태였습니다. 이 중 80%가 CVSS >= 7.0 점수를 기록했으며, 업스트림 수정 사항(upstream-fix) 채택률은 47%-84%에 불과합니다. 라이선스 위험은 직접적인 소스 코드 재사용에 집중됩니다: 41,777개의 사전 검증 대상(pre-validation candidates) 중 66%가 소스 코드 형태였으며, 39개의 검증된 높은 별점 위반(high-star violations) 사례가 확인되었습니다(kappa = 0.752). 두 가지 위험 모두 패키징된 소프트웨어에 도달하며, 선언된 메타데이터(declared metadata)만을 기반으로 작동하는 의존성 스캐너(dependency scanners)에는 보이지 않습니다.