S5 — Tko objavljuje atestacije na PyPI i npm – i tko je prestao?

Sažetak

Atestacije PEP 740 omogućuju svakome da provjeri je li datoteku na PyPI izgradio imenovani repozitorij i tijek rada (workflow). Neatestiranje je norma. Dana 2026-10-02 izmjerili smo:

cjelokupnu povijest učitavanja 15.000 najpreuzimanijih projekata na PyPI (popis hugovk od 2026-10-01);
identitet izdavača svakog projekta s atestacijama (PyPI Integrity API);
uzorak od 1.500 paketa na npm.

Od 14.995 projekata koje smo mogli analizirati njih 11.336 (75,6 %) nikada nije učitalo atestiranu datoteku.

Prihvaćenost. Najnovija verzija atestirana je za 3.479 od 14.995 projekata (23,2 %) i za 31,1 % onih čija je najnovija verzija prvi put učitana nakon 2024-10-01. Prema rasponu mjesta na ljestvici:

mjesta na ljestvici	najnovija verzija atestirana
1–100	59,0 %
10.001–15.000	20,3 %

Udio projekata s atestiranom najnovijom verzijom porastao je s 4,0 % (kraj studenoga 2024.) na 23,2 % (kraj rujna 2026.). S pregledom Are we PEP 740 yet? tvrtke Trail of Bits slažemo se za 359 od njegovih 360 paketa.

Projekti koji su prestali. 148 projekata učitalo je atestiranu datoteku i kasnije izdalo verziju bez nje. Za 138 njih linija izdanja koju instalira pip imala je atestacije, a njezina najnovija verzija nema nijednu: to je 3,8 % od 3.659 projekata koji su ikada atestirali. Prema uzroku:

uzrok	projekti
promjena alata ili tijeka rada	96
jedno izolirano izdanje	15
vraćeno nakon najnovijeg izdanja	1
nepoznat	26

Među promjenama alata ili tijeka rada u njih 53 tijek rada za objavljivanje sada pokreće uv publish bez koraka atestacije. Primjeri, svaki potkrijepljen commitom u paper.md §5.3: fastapi, typer, fastmcp i supabase. Prestanak je promjena alata za izdavanje, a ne znak kompromitacije.

Promjene izdavača. Najmanje 307 projekata s atestacijama promijenilo je izdavača. Od 188 promjena pri kojima se mijenja repozitorij ili vrsta izdavača:

160 potvrđuju javni podaci;
16 ih je u skladu s vlastitim metapodacima projekta;
12, u 5 projekata, nije potvrđeno.

npm. 30,8 % od 1.000 najpopularnijih paketa objavljuje podatke o podrijetlu (provenance); 4 od 459 paketa koji su to ikada činili (0,9 %) prestala su.

Prethodni radovi. Najbliže postojeće mjerenje jest pregled tvrtke Trail of Bits, koji obuhvaća 360 najpopularnijih paketa na PyPI prema najnovijem izdanju. Ova studija dodaje raspodjelu izvan tih 360, povijest, prestanke i njihove uzroke te reviziju izdavača (paper.md §2).

Automatizacija i pregled. Studiju su proveli agenti UI-ja i napisali tekst. Provjerio ju je neovisni recenzent UI-ja (paper.md §4.1).

Citirajte ovu studiju

Citiranje

EasyxLab (2026). Who publishes attestations on PyPI and npm — and who stopped? Study S5. EasyByte Hub S. Coop. Mad. https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations

BibTeX

@techreport{easyxlab_s5,
  title       = {Who publishes attestations on PyPI and npm — and who stopped?},
  author      = {{EasyxLab}},
  institution = {EasyByte Hub S. Coop. Mad.},
  number      = {S5},
  year        = {2026},
  url         = {https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations}
}