文章探讨了各大包管理器日益广泛采用的“依赖冷却期”机制，该机制会延迟安装新的包更新数天，以便社区有时间检测潜在的供应链攻击。这一趋势受到近期LiteLLM供应链攻击的启发，在2025-2026年间已在pnpm、Yarn、Bun、Deno、uv、pip和npm等工具中实现。文章强调了这种安全实践正逐渐成为防御恶意更新的标准措施。
背景
软件依赖中的供应链攻击已成为关键的安全问题，恶意行为者通过入侵受信任的包来感染下游项目。包管理器正在通过实施在采用新版本前引入有意延迟的功能来应对这一威胁。
- 来源
- Simon Willison
- 发布时间
- 2026年3月25日 05:11
- 评分
- 7.0 / 10