S5 — Kes avaldab atesteeringuid registrites PyPI ja npm

Kokkuvõte

PEP 740 atesteeringud võimaldavad igaühel kontrollida, et PyPI-s oleva faili on ehitanud nimeliselt määratud hoidla ja töövoog. Tavaline on atesteerimata jätta. Mõõtsime 2026-10-02:

15 000 enim allalaaditud PyPI-projekti kogu üleslaadimisajaloo (hugovki loend seisuga 2026-10-01);
iga atesteeritud projekti avaldaja identiteedi (PyPI Integrity API);
1 500 npm-paketi valimi.

14 995 projektist, mida saime analüüsida, ei ole 11 336 (75,6%) kunagi üles laadinud atesteeritud faili.

Kasutuselevõtt. Uusim versioon on atesteeritud 3 479 projektil 14 995-st (23,2%) ja 31,1%-l neist, mille uusim versioon laaditi esmakordselt üles pärast 2024-10-01. Kohavahemike kaupa:

kohad	uusim versioon atesteeritud
1–100	59,0%
10 001–15 000	20,3%

Nende projektide osakaal, mille uusim versioon on atesteeritud, kasvas 4,0%-lt (2024. aasta novembri lõpus) 23,2%-ni (2026. aasta septembri lõpus). Meie tulemused ühtivad Trail of Bitsi jälgija Are we PEP 740 yet? tulemustega 359 paketi puhul selle 360-st.

Lõpetanud projektid. 148 projekti laadisid üles atesteeritud faili ja avaldasid hiljem versiooni ilma selleta. 138 puhul olid versiooniliinil, mille pip paigaldab, atesteeringud olemas, kuid selle uusimal versioonil pole ühtegi: 3,8% neist 3 659 projektist, mis on kunagi atesteerinud. Põhjuste kaupa:

põhjus	projekte
tööriista või töövoo vahetus	96
üks üksik väljalase	15
taastatud pärast uusimat väljalaset	1
teadmata	26

53 tööriista või töövoo vahetuse puhul käivitab avaldamistöövoog nüüd käsu uv publish ilma atesteerimissammuta. Näited, millest igaühe kohta on paper.md §5.3 toodud seda kinnitav commit: fastapi, typer, fastmcp ja supabase. Lõpetamine on väljalasketööriistade vahetus, mitte kompromiteerimise märk.

Avaldaja vahetused. Vähemalt 307 atesteeritud projekti on avaldajat vahetanud. 188 vahetusest, mis toimuvad eri hoidlate või eri avaldajatüüpide vahel:

160 on kinnitatud avalike andmetega;
16 on kooskõlas projekti enda metaandmetega;
12, mis puudutavad 5 projekti, ei ole kinnitatud.

npm. 1 000 populaarseimast paketist avaldab 30,8% päritoluandmeid (provenance); 459 paketist, mis on seda kunagi teinud, on 4 (0,9%) lõpetanud.

Varasemad tööd. Lähim olemasolev mõõtmine on Trail of Bitsi jälgija, mis hõlmab 360 populaarseimat PyPI-paketti nende uusima väljalaske põhjal. See uuring lisab jaotuse väljaspool neid 360 paketti, ajaloo, lõpetamised ja nende põhjused ning avaldajate auditi (paper.md §2).

Automatiseerimine ja ülevaatus. Uuringu viisid läbi ja teksti kirjutasid tehisintellektiagendid. Seda kontrollis sõltumatu tehisintellektil põhinev retsensent (paper.md §4.1).

Viita sellele uuringule

Viide

EasyxLab (2026). Who publishes attestations on PyPI and npm — and who stopped? Study S5. EasyByte Hub S. Coop. Mad. https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations

BibTeX

@techreport{easyxlab_s5,
  title       = {Who publishes attestations on PyPI and npm — and who stopped?},
  author      = {{EasyxLab}},
  institution = {EasyByte Hub S. Coop. Mad.},
  number      = {S5},
  year        = {2026},
  url         = {https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations}
}