DependabotとPyPI、サプライチェーンに「クールダウン」期間を導入
GitHubとPython Package Index(PyPI)は、依存関係の更新に戦略的な遅延を導入しました。これは、開発者が公開直後の悪意あるパッケージを誤って導入してしまう事態を防ぐための措置です。Dependabotはデフォルトで3日間の保留期間を強制するようになり、PyPIは公開から1
GitHubとPython Package Index(PyPI)は、依存関係の更新に戦略的な遅延を導入しました。これは、開発者が公開直後の悪意あるパッケージを誤って導入してしまう事態を防ぐための措置です。Dependabotはデフォルトで3日間の保留期間を強制するようになり、PyPIは公開から1
GitHubは、Dependabotの新たなデフォルトセキュリティ制御として、バージョンアップデートのプルリクエストが作成されるまでに3日間のクールダウン期間を設ける仕組みを導入しました。 この変更はGitHubのCarlin Cherry氏が2026年7月23日に発表したもので、公開されたばかりの新バージョンに悪意