#パッケージ管理のAIニュース

10件の記事

pip 26.1 の新機能：ロックファイルと依存関係のクールダウン

Richard Si 氏は、Python のパッケージ管理ツール pip の新版 26.1 で導入されたロックファイル機能と依存関係のクールダウン機構について解説している。また、Python 3.9 のサポート終了にも言及し、開発環境の標準化が進んでいることを示している。

GitHubがGitHub CLIのLinuxパッケージリポジトリ用に更新されたPGPキーリングを公開した。新しい置換鍵が追加され、一部のLinuxユーザーは対応が必要だが、他の環境や方法でインストールしたユーザーは影響を受けない。

GitHubのDependabotがNix flakesをサポートし、flake.lockの入力を監視して、新しいコミットが利用可能になると個別のプルリクエストを自動的に作成するようになった。

GitHubは、攻撃者がGitHub Actionsのワークフローを侵害してAPIキーなどの秘密情報を窃取し、悪意のあるパッケージを公開する新たな攻撃パターンに対処するためのセキュリティ対策を実施している。

Daniel HnykがBigQuery PyPIデータセットを使用し、悪意のあるLiteLLMパッケージがPyPIで公開されていた46分間のダウンロード数が約47,000件あったことを明らかにした。

GitHubのDependabotが、リポジトリが依存するnpmパッケージに既知の悪意あるバージョンがある場合にアラートを送信する機能を追加した。ユーザーは設定でマルウェア警告を有効にできる。

記事は、.npmrc、MANIFEST.in、Directory.Packages.props、.pnpmfile.cjsなどのパッケージマネージャー設定ファイル（マジックファイル）の存在と探し方を説明している。

著者が、パッケージ管理には「コンピュータサイエンスの2つの難問」を超える複数の根本的課題（特に依存関係の命名とバージョン管理）が存在すると指摘している。

shu DingがReactに関する知識を文書化したことが始まりで、現在は69,000以上のスキル、200万回のスキルCLIインストールを持つオープンスキルエコシステム「skills.sh」が急速に成長している。

開発者が開発環境用仮想マシンを再構築し、apt・Homebrew・asdf・Dockerなどのパッケージ管理ツールを使い分けて、gcloud・Docker・Go・kubectl・poetryなどのツールを効率的にインストールする方法を紹介している。