Pourquoi mon gestionnaire de paquets continue-t-il à confondre mes paquets internes avec les paquets publics ?

La plupart des organisations gèrent des paquets privés dans un registre interne, parallèlement aux dépendances publiques provenant de npm ou de PyPI. Lorsqu’un outil de compilation résout un nom, il peut, à l’insu de l’utilisateur, privilégier une version publique si un attaquant publie un paquet portant le même nom mais avec un numéro de version supérieur, car aucun registre n’impose de propriété cryptographique de l’espace de noms pour les portées privées. En mai 2026, Microsoft a recensé 33 paquets npm malveillants exploitant activement cette faille, ciblant neuf environnements d’entreprise distincts. Orca Security indique que 49 % des organisations possèdent au moins un actif vulnérable à ce type d’attaque. Aucun écosystème de paquets majeur n’a mis en place de norme permettant à un outil de compilation de rejeter un paquet public qui fait double emploi avec un paquet interne déclaré.