Waarom verwart mijn pakketbeheerder mijn interne pakketten nog steeds met openbare pakketten?

De meeste organisaties beheren naast openbare afhankelijkheden van npm of PyPI ook privépakketten in een intern register. Wanneer een buildtool een naam oplost, kan deze ongemerkt de voorkeur geven aan een openbare versie als een aanvaller een pakket met dezelfde naam en een hoger versienummer publiceert, omdat geen enkel register cryptografisch eigendom van de naamruimte afdwingt voor privé-scopes. Microsoft documenteerde in mei 2026 33 kwaadaardige npm-pakketten die hier actief misbruik van maakten, gericht op negen afzonderlijke organisatorische scopes van ondernemingen. Orca Security meldt dat 49 procent van de organisaties ten minste één asset heeft die kwetsbaar is voor dit soort aanvallen. Geen enkel groot pakketecosysteem heeft een standaard geïntroduceerd waarmee een buildtool een openbaar pakket kan weigeren dat een gedeclareerd intern pakket overschaduwt.