GitHub uvodi npm Firewall za kontrolu rizičnih instalacija
GitHub je u javnom pregledu predstavio npm Firewall, kontrolu koja blokira instalaciju sumnjivih npm paketa pre nego što stignu do razvojnog okruženja. Funkcija je dostupna svim korisnicima GitHub Enterprise Cloud-a, uključujući data-resident izdanje, a proverava zahteve za metapodatke i preuzimanje paketa tokom instalacije.
Firewall je postavljen između krajnjih tačaka ili internih registara i javnih repozitorijuma paketa. Umesto da programerski agenti i CI/CD domaćini direktno pristupaju javnom registru, njihove zahteve može da obradi ovaj posredni sloj i primeni unapred definisane bezbednosne politike.
Kontrola rizika pre preuzimanja zavisnosti
Namena ove mere je ograničavanje napada na lanac snabdevanja softverom u trenutku kada se zavisnost instalira. Rizik je naročito izražen kod AI agenata i CI izvršilaca koji mogu automatski da preuzmu pakete radi izvršavanja zadatka ili izgradnje aplikacije, bez neposrednog odobrenja korisnika.
Administratori mogu da blokiraju pakete koji su označeni aktivnim upozorenjem za malver u GitHub Advisory Database. Moguće je blokirati i verzije sa ranjivostima prema izabranoj težini: podrazumevana postavka zaustavlja samo kritične ranjivosti, dok su dostupni pragovi „visoka ili viša“, „srednja ili viša“ i sve težine.
Atestacije, skripte i period čekanja
Pravila obuhvataju i sprečavanje degradacije atestacija. Firewall poredi atestacije tražene verzije paketa sa ranijim izdanjima i može da zaustavi preuzimanje ako nova verzija nema SLSA atestaciju. Tako se proverava da li je bezbednosni dokaz o poreklu i procesu izgradnje slabiji nego kod prethodnih verzija.
Dodatna kontrola prepoznaje pakete koji su nedavno uveli skripte pokretane kroz preinstall ili postinstall hookove. Takve skripte mogu biti zloupotrebljene za krađu osetljivih podataka, pa njihovo pojavljivanje postaje razlog za blokadu kada je politika aktivirana.
Administratori mogu da postave i minimalnu starost izdanja, odnosno period čekanja pre dozvoljene instalacije. Vrednost je od 1 do 365 dana, sa podrazumevanim jednim danom; postavljanje na 0 isključuje ovu kontrolu. Ako se legitimni paket greškom blokira, korisnik može da podnese zahtev za izuzetak, koji odobravaju administratorski i bezbednosni timovi u organizaciji.
Širi obrazac zaštite ekosistema
Princip minimalne starosti paketa pojavljuje se i van npm ekosistema. Rust 1.100, čije je izdanje najavljeno za 12. novembar 2026, priprema opciju global-min-publish-age u fajlu cargo/config.toml. Ona omogućava definisanje minimalne starosti objave u danima ili nedeljama, a bez eksplicitne postavke primenjuje sedmodnevni period čekanja.
Slični periodi čekanja već su uvedeni u ekosistemima npm, Python, Microsoft Visual Studio Code, Ruby, Bun, pnpm i Yarn. Oni ne uklanjaju rizik izdanja koje ostane neotkriveno, niti sprečavaju da legitimne ispravke čekaju na odobrenje. Njihova uloga je da daju dodatno vreme istraživačima, održavaocima i registrima da označe problematičnu verziju pre njenog šireg automatskog preuzimanja.
Za poslovanje, npm Firewall znači da se upravljanje zavisnostima može premestiti iz naknadne provere u preventivnu tačku instalacije. Najpraktičniji korak je uskladiti pragove za ranjivosti, atestacije, skripte i starost paketa sa internim procesom za brza, evidentirana odobrenja izuzetaka.