S5 — Kto publikuje atestácie na PyPI a npm – a kto prestal?

Abstrakt

Atestácie PEP 740 umožňujú komukoľvek overiť, že súbor na PyPI zostavil konkrétny repozitár a workflow. Neatestovať je norma. Dňa 2026-10-02 sme zmerali:

úplnú históriu nahrávania 15 000 najsťahovanejších projektov PyPI (zoznam hugovk z 2026-10-01);
identitu vydavateľa každého projektu s atestáciami (PyPI Integrity API);
vzorku 1 500 balíkov npm.

Zo 14 995 projektov, ktoré sme mohli analyzovať, 11 336 (75,6 %) nikdy nenahralo atestovaný súbor.

Prijatie. Najnovšia verzia je atestovaná pri 3 479 zo 14 995 projektov (23,2 %) a pri 31,1 % tých, ktorých najnovšia verzia bola prvýkrát nahraná po 2024-10-01. Podľa pásma poradia:

poradie	najnovšia verzia atestovaná
1–100	59,0 %
10 001–15 000	20,3 %

Podiel projektov s atestovanou najnovšou verziou vzrástol zo 4,0 % (koniec novembra 2024) na 23,2 % (koniec septembra 2026). S prehľadom Are we PEP 740 yet? od Trail of Bits sa zhodujeme pri 359 z jeho 360 balíkov.

Projekty, ktoré prestali. 148 projektov nahralo atestovaný súbor a neskôr vydalo verziu bez neho. Pri 138 z nich mala rada vydaní, ktorú inštaluje pip, atestácie a jej najnovšia verzia žiadne nemá: to je 3,8 % z 3 659 projektov, ktoré niekedy atestovali. Podľa príčiny:

príčina	projekty
zmena nástroja alebo workflowu	96
jediné ojedinelé vydanie	15
obnovené po najnovšom vydaní	1
neznáma	26

Pri 53 zo zmien nástroja alebo workflowu teraz publikačný workflow spúšťa uv publish bez kroku atestácie. Príklady, každý doložený commitom v paper.md §5.3: fastapi, typer, fastmcp a supabase. Ukončenie je zmenou nástrojov na vydávanie, nie znakom kompromitácie.

Zmeny vydavateľa. Najmenej 307 projektov s atestáciami zmenilo vydavateľa. Zo 188 zmien, pri ktorých sa mení repozitár alebo druh vydavateľa:

160 potvrdzujú verejné dáta;
16 je v súlade s vlastnými metadátami projektu;
12, v 5 projektoch, potvrdených nie je.

npm. 30,8 % z 1 000 najpopulárnejších balíkov publikuje údaje o pôvode (provenance); 4 zo 459 balíkov, ktoré to niekedy robili (0,9 %), prestali.

Predchádzajúce práce. Najbližším existujúcim meraním je prehľad Trail of Bits, ktorý pokrýva 360 najpopulárnejších balíkov PyPI podľa najnovšieho vydania. Táto štúdia pridáva rozdelenie mimo týchto 360, históriu, ukončenia a ich príčiny a audit vydavateľov (paper.md §2).

Automatizácia a kontrola. Štúdiu vykonali agenti AI a napísali text. Skontroloval ju nezávislý recenzent AI (paper.md §4.1).

Citovať túto štúdiu

Citácia

EasyxLab (2026). Who publishes attestations on PyPI and npm — and who stopped? Study S5. EasyByte Hub S. Coop. Mad. https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations

BibTeX

@techreport{easyxlab_s5,
  title       = {Who publishes attestations on PyPI and npm — and who stopped?},
  author      = {{EasyxLab}},
  institution = {EasyByte Hub S. Coop. Mad.},
  number      = {S5},
  year        = {2026},
  url         = {https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations}
}