PyPI、14 日以上前のリリースへの新規アップロードを拒否

新制限の導入と目的

PyPI は、公開トークンやワークフローが侵害された際に過去の安定版リリースが汚染されるのを防ぐため、14 日以上経過したリリースへの新規ファイルアップロードを拒否する仕組みを導入した。

制限の技術的根拠

この制限は攻撃者がその可能性に気づいていないという現状に基づいた予防措置であり、現時点では悪用事例は確認されていないが、技術的な理由で可能であるため導入された。

サプライチェーンセキュリティの強化

この変更は Python パッケージエコシステム全体のサプライチェーンセキュリティを強化するものであり、開発者やプロジェクト管理者に対する重要な影響を与える。