Porque é que o meu gestor de pacotes continua a confundir os meus pacotes internos com os públicos?
Oportunidade
A maioria das organizações mantém pacotes privados num registo interno, a par das dependências públicas do npm ou do PyPI. Quando uma ferramenta de compilação resolve um nome, pode preferir silenciosamente uma versão pública se um atacante publicar um pacote com o mesmo nome e um número de versão superior, uma vez que nenhum registo impõe a propriedade criptográfica do espaço de nomes para âmbitos privados. A Microsoft documentou, em maio de 2026, 33 pacotes maliciosos do npm que exploravam ativamente esta vulnerabilidade, visando nove âmbitos organizacionais empresariais distintos. A Orca Security relata que 49 por cento das organizações têm pelo menos um ativo vulnerável a este tipo de ataque. Nenhum ecossistema de pacotes de grande dimensão lançou uma norma que permita a uma ferramenta de compilação rejeitar um pacote público que se sobreponha a um pacote interno declarado.
Por que importa
A titularidade do espaço de nomes criptográfico ao nível do registo é o elemento fundamental que faltava para eliminar toda uma classe de vulnerabilidades na cadeia de abastecimento, sem que as organizações tenham de alterar os seus fluxos de compilação.
Como avalio a oportunidade
A Pontuação de Oportunidade é minha própria leitura, não uma medição: o quanto dói, com que frequência aparece e o quanto pouco existe para resolvê-lo hoje. Quanto maior, mais vale a pena construir, na minha opinião.
O quanto de dor causa quando aparece.
Com que frequência as pessoas realmente se deparam com isso.
O quanto pouco de boas ferramentas existe para isso hoje.
Mais problemas que merecem ser resolvidos
Por que o software do qual mais dependemos é o pior para usar?
TechPor que ainda não sou dono de nenhum dos dados que gero?
TechPor que não consigo um comprovante que prove que meus dados foram realmente excluídos?
TechPor que não consigo saber se o que está em execução corresponde ao que meu SBOM declarou?
TechPor que é que o meu scanner de segurança não deteta a classe de vulnerabilidade que o meu assistente de IA identifica com mais frequência?
TechPor que é que o meu agente de IA encaminha dados de saúde europeus através de um servidor nos EUA sem aviso prévio?