Mengapa pengelola paket saya masih sering salah mengartikan paket internal saya sebagai paket publik?

Sebagian besar organisasi menyimpan paket privat dalam registri internal bersamaan dengan dependensi publik dari npm atau PyPI. Ketika alat build menyelesaikan pencarian nama, alat tersebut dapat secara diam-diam memilih versi publik jika penyerang menerbitkan paket dengan nama yang sama namun nomor versi yang lebih tinggi, karena tidak ada registri yang memberlakukan kepemilikan ruang nama kriptografis untuk cakupan privat. Microsoft mendokumentasikan 33 paket npm berbahaya yang secara aktif mengeksploitasi celah ini pada Mei 2026, yang menargetkan sembilan ruang lingkup organisasi perusahaan yang berbeda. Orca Security melaporkan bahwa 49 persen organisasi memiliki setidaknya satu aset yang rentan terhadap jenis serangan ini. Tidak ada ekosistem paket besar yang telah merilis standar yang memungkinkan alat build menolak paket publik yang menimpa paket internal yang telah dinyatakan.