S5 — Kdo objavlja atestacije na PyPI in npm – in kdo je prenehal?

Povzetek

Atestacije PEP 740 vsakomur omogočajo preveriti, da je datoteko na PyPI zgradil imenovan repozitorij in potek dela (workflow). Neatestiranje je norma. Dne 2026-10-02 smo izmerili:

celotno zgodovino nalaganja 15.000 najpogosteje prenesenih projektov PyPI (seznam hugovk z dne 2026-10-01);
identiteto izdajatelja vsakega projekta z atestacijami (PyPI Integrity API);
vzorec 1.500 paketov npm.

Od 14.995 projektov, ki smo jih lahko analizirali, jih 11.336 (75,6 %) ni nikoli naložilo atestirane datoteke.

Sprejetost. Najnovejša različica je atestirana pri 3.479 od 14.995 projektov (23,2 %) in pri 31,1 % tistih, katerih najnovejša različica je bila prvič naložena po 2024-10-01. Po razponu uvrstitev:

uvrstitve	najnovejša različica atestirana
1–100	59,0 %
10.001–15.000	20,3 %

Delež projektov z atestirano najnovejšo različico se je povečal s 4,0 % (konec novembra 2024) na 23,2 % (konec septembra 2026). S pregledom Are we PEP 740 yet? podjetja Trail of Bits se ujemamo pri 359 od njegovih 360 paketov.

Projekti, ki so prenehali. 148 projektov je naložilo atestirano datoteko in pozneje izdalo različico brez nje. Pri 138 je imela linija izdaj, ki jo namesti pip, atestacije, njena najnovejša različica pa jih nima: to je 3,8 % od 3.659 projektov, ki so kdaj atestirali. Po vzroku:

vzrok	projekti
menjava orodja ali poteka dela	96
ena osamljena izdaja	15
obnovljeno po najnovejši izdaji	1
neznan	26

Pri 53 menjavah orodja ali poteka dela potek dela za objavljanje zdaj zažene uv publish brez koraka atestacije. Primeri, vsak podprt s commitom v paper.md §5.3: fastapi, typer, fastmcp in supabase. Prenehanje je menjava orodij za izdajanje, ne znak kompromitiranosti.

Menjave izdajatelja. Vsaj 307 projektov z atestacijami je zamenjalo izdajatelja. Od 188 menjav, pri katerih se spremeni repozitorij ali vrsta izdajatelja:

160 jih potrjujejo javni podatki;
16 se jih ujema z lastnimi metapodatki projekta;
12, v 5 projektih, ni potrjenih.

npm. 30,8 % od 1.000 najbolj priljubljenih paketov objavlja podatke o izvoru (provenance); 4 od 459 paketov, ki so to kdaj počeli (0,9 %), so prenehali.

Predhodno delo. Najbližja obstoječa meritev je pregled Trail of Bits, ki zajema 360 najbolj priljubljenih paketov PyPI po najnovejši izdaji. Ta študija dodaja porazdelitev zunaj teh 360, zgodovino, prenehanja in njihove vzroke ter revizijo izdajateljev (paper.md §2).

Avtomatizacija in pregled. Študijo so izvedli agenti UI in napisali besedilo. Preveril jo je neodvisen recenzent UI (paper.md §4.1).

Citirajte to študijo

Citiranje

EasyxLab (2026). Who publishes attestations on PyPI and npm — and who stopped? Study S5. EasyByte Hub S. Coop. Mad. https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations

BibTeX

@techreport{easyxlab_s5,
  title       = {Who publishes attestations on PyPI and npm — and who stopped?},
  author      = {{EasyxLab}},
  institution = {EasyByte Hub S. Coop. Mad.},
  number      = {S5},
  year        = {2026},
  url         = {https://github.com/easybytehub/easyxlab/tree/main/studies/s5-pypi-attestations}
}