ทำไม package manager ของฉันยังคงสับสนระหว่าง package ภายในกับ package สาธารณะ?

องค์กรส่วนใหญ่เก็บ package ส่วนตัวไว้ใน registry ภายในควบคู่กับ dependency สาธารณะจาก npm หรือ PyPI เมื่อ build tool แก้ไขชื่อ อาจเลือกใช้เวอร์ชันสาธารณะโดยไม่แจ้งเตือนหากผู้โจมตีเผยแพร่ package ที่มีชื่อเดียวกันในเวอร์ชันที่สูงกว่า เนื่องจากไม่มี registry ใดบังคับใช้การเป็นเจ้าของ namespace แบบเข้ารหัสสำหรับ scope ส่วนตัว Microsoft บันทึกพบ npm package ที่เป็นอันตราย 33 รายการที่ใช้ประโยชน์จากช่องโหว่นี้อยู่จริงในเดือนพฤษภาคม 2026 โดยมุ่งเป้าไปที่ organizational scope ขององค์กรเก้าแห่ง Orca Security รายงานว่า 49 เปอร์เซ็นต์ขององค์กรมีสินทรัพย์อย่างน้อยหนึ่งรายการที่เสี่ยงต่อการโจมตีประเภทนี้ ยังไม่มี package ecosystem หลักใดที่ออกมาตรฐานที่ให้ build tool ปฏิเสธ package สาธารณะที่ทับซ้อน package ภายในที่ประกาศไว้