मेरा पैकेज मैनेजर अभी भी मेरे आंतरिक पैकेज को सार्वजनिक पैकेज से क्यों भ्रमित करता है?

अधिकांश संगठन npm या PyPI की सार्वजनिक निर्भरताओं के साथ-साथ एक आंतरिक रजिस्ट्री में निजी पैकेज रखते हैं। जब कोई बिल्ड टूल एक नाम हल करता है, तो यह चुपचाप एक सार्वजनिक संस्करण को प्राथमिकता दे सकता है यदि कोई हमलावर उसी नाम से उच्च संस्करण संख्या पर एक पैकेज प्रकाशित करता है, क्योंकि कोई भी रजिस्ट्री निजी स्कोप के लिए क्रिप्टोग्राफ़िक नेमस्पेस स्वामित्व लागू नहीं करती। Microsoft ने मई 2026 में नौ अलग-अलग उद्यम संगठनात्मक स्कोप को लक्षित करते हुए इसका सक्रिय रूप से शोषण करने वाले 33 दुर्भावनापूर्ण npm पैकेजों का दस्तावेज़ीकरण किया। Orca Security की रिपोर्ट है कि 49 प्रतिशत संगठनों के पास इस श्रेणी के हमले के प्रति संवेदनशील कम से कम एक संपत्ति है। किसी भी प्रमुख पैकेज इकोसिस्टम ने ऐसा मानक नहीं लागू किया है जो किसी बिल्ड टूल को एक घोषित आंतरिक पैकेज को ओवरशैडो करने वाले सार्वजनिक पैकेज को अस्वीकार करने देता हो।