脆弱性対応と minimumReleaseAge を両立しながら依存管理をクリーンに保つ

はじめに こんにちは。PKSHA Technology で SWE をしている須藤です。 npm エコシステムを標的としたサプライチェーン攻撃はすでに現実のリスクです。2026 年 3 月には、週間 8,000 万ダウンロードを超える axios のメンテナーアカウントが乗っ取られ、悪意ある依存パッケージを通じてクロスプラットフォーム対応の RAT（遠隔操作ツール）を配布される事件も起きています。こうした攻撃への対策として、リリース直後のパッケージのインストールを遅延させる仕組み（pnpm の minimumReleaseAge など）が主要パッケージマネージャへ広がっています。 しかし、この対策は脆弱性の修正版がリリースされた直後にも適用されるため、セキュリティ修正を早く取り込みたいが、リリースクールダウンに引っかかるというジレンマが生まれます。私たちのプロジェクトでもこの問題に直面し、

[nguyen-oi]

推移的依存の脆弱性対応はマジで沼だからな。暫定のoverrideが化石化するのを防ぐ自動同期の仕組みは、運用負荷を減らす意味でかなり実用的だと思う