Min jippubblika attestazzjonijiet fuq PyPI u npm — u min waqaf?

L-attestazzjonijiet PEP 740 jippermettu lil kulħadd jivverifika li fajl ta’ PyPI inbena minn repożitorju u workflow speċifikati. In-norma hija li ma jkunx hemm attestazzjoni. Fit-2 ta’ Ottubru 2026 kejjilna:

• l-istorja sħiħa tat-tellig tal-fajls tal-15,000 proġett ta’ PyPI l-aktar imniżżla (il-lista ta’ hugovk tal-1 ta’ Ottubru 2026);
• l-identità tal-pubblikatur ta’ kull proġett attestat (PyPI Integrity API);
• kampjun ta’ 1,500 pakkett npm.

Mill-14,995 proġett li stajna nanalizzaw, 11,336 (75.6%) qatt ma tellgħu fajl attestat.

Adozzjoni. L-aħħar verżjoni hija attestata għal 3,479 minn 14,995 proġett (23.2%), u għal 31.1% ta’ dawk li l-aħħar verżjoni tagħhom ittellgħet għall-ewwel darba wara l-1 ta’ Ottubru 2024. Skont il-medda fil-klassifika:

Il-proġetti li l-aħħar verżjoni tagħhom hija attestata żdiedu minn 4.0% (tmiem Novembru 2024) għal 23.2% (tmiem Settembru 2026). Naqblu ma’ Are we PEP 740 yet? ta’ Trail of Bits fuq 359 mit-360 pakkett tiegħu.

Proġetti li waqfu. 148 proġett tellgħu fajl attestat u wara ħarġu verżjoni mingħajr attestazzjoni. Għal 138 minnhom, il-linja ta’ verżjonijiet li jinstalla pip kellha attestazzjonijiet u l-aħħar verżjoni tagħha m’għandha l-ebda waħda: 3.8% tat-3,659 proġett li qatt attestaw. Skont il-kawża:

F’53 mill-bidliet fl-għodda jew fil-workflow, il-workflow tal-pubblikazzjoni issa jħaddem uv publish mingħajr pass ta’ attestazzjoni. Eżempji, kull wieħed sostnut minn commit f’paper.md §5.3: fastapi, typer, fastmcp u supabase. Il-waqfien huwa bidla fl-għodod tar-rilaxx, mhux sinjal ta’ ksur tas-sigurtà.

Bidliet tal-pubblikatur. Mill-inqas 307 proġetti attestati biddlu l-pubblikatur. Mill-188 bidla li jinvolvu repożitorju ieħor jew tip ieħor ta’ pubblikatur:

• 160 huma kkonfermati minn data pubblika;
• 16 huma konsistenti mal-metadata tal-proġett innifsu;
• 12, f’5 proġetti, mhumiex ikkonfermati.

npm. 30.8% tal-1,000 pakkett ewlieni jippubblikaw il-provenjenza (provenance); 4 minn 459 pakkett li qatt għamlu dan (0.9%) waqfu.

Xogħol preċedenti. L-eqreb kejl eżistenti huwa t-tracker ta’ Trail of Bits, li jkopri l-ewwel 360 pakkett ta’ PyPI skont l-aħħar rilaxx tagħhom. Dan l-istudju jżid id-distribuzzjoni lil hinn minn dawk it-360 pakkett, l-istorja, il-waqfiet u l-kawżi tagħhom, u l-awditu tal-pubblikaturi (paper.md §2).

Awtomazzjoni u rieżami. Aġenti tal-IA wettqu l-istudju u kitbu t-test. Reviżur indipendenti tal-IA ivverifikah (paper.md §4.1).