Vercelが既知の悪意あるnpmパッケージを自動遮断、インストール前・導入中に確認

何について

Vercelは、ビルドで依存パッケージを導入する前と導入中に、遮断対象のnpmパッケージを確認する保護を追加した。マルウェアや脆弱性を理由に指定したパッケージの特定バージョンをブロックリストで扱い、新しいルールは通常、数分以内に新規ビルドへ届くとしている。 導入前は対応するロックファイルを調べ、ビルドキャッシュから依存関係を復元する場合も対象にする。導入中は該当する公開npmパッケージのダウンロードを遮断。全プランの新規ビルドへ設定不要で適用される。検出時はデプロイを失敗にし、パッケージ名とバージョンを通知して、影響するキャッシュの無効化も試みる。既知の指定対象に対する保護であり、未知の攻撃を含むすべての依存関係の安全性を保証するものではない。

なぜ注目

インストール時に動くスクリプトを、導入後の検査より早い段階で止める公式の保護機能。AIを使ったアプリ開発でも利用するnpmの依存関係管理に関わります。