パッケージマネージャーは冷静になる必要がある
本文の状態
日本語全文を表示中
詳細モードで約1分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
Simon Willison Blog
著者がLiteLLMのサプライチェーン攻撃を契機に、依存関係の更新を数日間待つ「クールダウン」の実践を再検討し、パッケージマネージャーのセキュリティ対策の重要性を主張している。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
パッケージマネージャーは冷却期間を設ける必要がある
今日の LiteLLM サプライチェーン攻撃 をきっかけに、依存関係の冷却期間 という考えを再考しました。これは、更新された依存パッケージが実際に公開されてから数日経過し、コミュニティが何らかの方法で乗っ取られていないかを確認する機会を与えるまで、インストールを行わないという実践です。
この最近の Andrew Nesbitt による記事（3月4日付）は、さまざまなパッケージングツールにおける依存関係冷却メカニズムの現状をレビューしています。驚くほど広くサポートされています！主要なパッケージングツールの間で活発な動きがあり、その中には以下が含まれます：
- pnpm 10.16（2025年9月）— minimumReleaseAge および信頼できるパッケージ用の minimumReleaseAgeExclude
- Yarn 4.10.0（2025年9月）— npmMinimalAgeGate（分単位）および除外用 npmPreapprovedPackages
- Bun 1.3（2025年10月）— bunfig.toml を介した minimumReleaseAge
- Deno 2.6（2025年12月）— deno update および deno outdated 用の --minimum-dependency-age
- uv 0.9.17（2025年12月）— 既存の --exclude-newer に相対期間サポートを追加し、パッケージごとのオーバーライドを exclude-newer-package で実現
- pip 26.0（2026年1月）— --uploaded-prior-to（絶対時刻のみ；相対期間サポートは要望中）
- npm 11.10.0（2026年2月）— min-release-age
pip は現在、相対日付ではなく絶対日付のみをサポートしていますが、Seth Larson は、cron を使用して pip.conf 設定ファイル内の絶対日付を定期的に更新するワークアラウンドを提供しています。
Tags: javascript, packaging, pip, pypi, python, security, npm, deno, supply-chain, uv
原文を表示
Package Managers Need to Cool Down
Today's LiteLLM supply chain attack inspired me to revisit the idea of dependency cooldowns, the practice of only installing updated dependencies once they've been out in the wild for a few days to give the community a chance to spot if they've been subverted in some way.
This recent piece (March 4th) piece by Andrew Nesbitt reviews the current state of dependency cooldown mechanisms across different packaging tools. It's surprisingly well supported! There's been a flurry of activity across major packaging tools, including:
- pnpm 10.16 (September 2025) — minimumReleaseAge with minimumReleaseAgeExclude for trusted packages
- Yarn 4.10.0 (September 2025) — npmMinimalAgeGate (in minutes) with npmPreapprovedPackages for exemptions
- Bun 1.3 (October 2025) — minimumReleaseAge via bunfig.toml
- Deno 2.6 (December 2025) — --minimum-dependency-age for deno update and deno outdated
- uv 0.9.17 (December 2025) — added relative duration support to existing --exclude-newer, plus per-package overrides via exclude-newer-package
- pip 26.0 (January 2026) — --uploaded-prior-to (absolute timestamps only; relative duration support requested)
- npm 11.10.0 (February 2026) — min-release-age
pip currently only supports absolute rather than relative dates but Seth Larson has a workaround for that using a scheduled cron to update the absolute date in the pip.conf config file.
Tags: javascript, packaging, pip, pypi, python, security, npm, deno, supply-chain, uv
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み