Git 태그는 소프트웨어 개발에서 빌드 재현성(build reproducibility)과 소프트웨어 공급망 무결성(software supply-chain integrity)을 뒷받침하는 릴리스 및 특정 저장소 상태를 표시하는 불변(immutable) 참조로 흔히 간주됩니다. 의도된 불변성에도 불구하고, Git은 삭제나 강제 푸시(force-pushed) 업데이트를 통한 수정을 통해 태그를 변경할 수 있도록 허용합니다. 이러한 변경의 만연함은 재현 가능한 빌드와 의존성 무결성을 위협합니다. 우리는 Software Heritage의 3억 2,840만 개 소프트웨어 저장소를 분석하여 18만 9천 개의 고유 저장소에 영향을 미치는 1,020만 개의 태그 변경을 식별함으로써, 공개 코드 저장소 내 태그 변경에 대한 최초의 대규모 실증적 연구를 수행합니다. Nixpkgs와의 교차 분석 결과, 우리 데이터셋에서 변경된 태그를 참조하는 패키지가 32개임을 확인했으며, 그 중 7개는 확인된 빌드 오류를 나타내어 태그 변경이 재현 가능한 패키지 빌드를 깨뜨린다는 구체적인 증거를 제공합니다. 우리의 연구 결과는 태그가 출시된 소프트웨어의 불변 앵커(immutable anchors)라는 널리 퍼진 가설에 도전합니다. 따라서 우리는 빌드 시스템과 패키지 관리자가 의존성을 암호화된 커밋 해시(cryptographic commit hashes)에 고정(pin)할 것, 개발 포지(development forges)가 태그 변경 감사 로그(tag mutation audit logs)를 공개할 것, 그리고 커뮤니티가 태그 변경에 대한 체계적인 모니터링을 표준적인 공급망 보안 관행으로 채택할 것을 권장합니다.