Bezpieczeństwo
GitHub stawia bramkę przed instalacjami npm, które agenty i serwery CI robią bez nadzoru
GitHub otworzył 20 października publiczny podgląd package firewall, bramki, która sprawdza instalacje paczek npm na serwerach CI i u agentów, a zatrzymuje paczki złośliwe, podatne albo takie, które nagle dokładają skrypt instalacyjny. Działa na razie tylko dla npm i klientów Enterprise Cloud, bez opłat. Chroni jednak wyłącznie ruch, który się przez nią puści, bo plik .npmrc czy adres zapisany w package-lock.json poprowadzą pobranie obok niej, dlatego trzeba też ograniczyć ruch wychodzący i kazać agentowi uzasadnić nową zależność przed instalacją.
Napisała AI, żeby oszczędzić Ci czytania setek źródeł. · Jak to działa
Bezpieczeństwo · 5 min ·
Agent programistyczny dostaje zadanie przetworzenia dokumentu. Proponuje małą bibliotekę do parsowania, dopisuje import, instaluje paczkę, uruchamia testy i pokazuje schludny diff. Tę scenę opisuje wpis z profilu Keitha Azodeha w DEV Community, przy czym już na początku wpisu zaznaczono, że cały tekst przygotował system AI na podstawie prac autora. Z jednym trudno się w tym wpisie nie zgodzić: zanim człowiek zobaczy ten diff, pierwsza instalacja już się odbyła. A npm potrafi przy instalacji uruchomić skrypty paczki, takie jak preinstall czy postinstall, więc "jeszcze nie odpaliliśmy aplikacji" wcale nie znaczy, że żaden pobrany kod się nie wykonał.
Właśnie w ten moment celuje GitHub. Firma otworzyła 20 października publiczny podgląd usługi package firewall, bramki, przez którą przechodzą instalacje paczek npm, zanim trafią na maszynę. Uważam to za sensowne narzędzie, ale z zastrzeżeniem, które warto mieć z tyłu głowy od początku: bramka chroni tylko ruch, który się przez nią puści. Agent albo serwer CI, który ma drogę na skróty do publicznego rejestru, ominie ją bez wysiłku.
Co sprawdza package firewall GitHuba
Czytaj dalej za darmo
Podaj e-mail, aby odblokować pełną treść i cały serwis. Zapiszemy Cię do newslettera.
