Den nyeste versjonen av en pakke er den ingen har hatt tid til å se på. Derfor venter den. Nypubliserte versjoner av tredjepartspakker venter i 72 timer før de kan lanseres i et produkt.
Hva du får
Produktet ditt slutter å være blant de første som installerer en versjon som viser seg å være forgiftet.
Nesten alle moderne produkter er bygd på åpne kildekode-pakker skrevet av folk utenfor selskapet ditt, hentet inn fra offentlige registre og oppdatert ofte. Hvis noen tar over kontoen til en vedlikeholder og publiserer en dårlig versjon, installerer hvert produkt som oppgraderer med en gang, den versjonen.
Dette er ikke et tankeeksperiment. Den 8. september 2025 ble en versjon av chalk, en mye brukt JavaScript-pakke, publisert med kode som manipulerte kryptovaluta-transaksjoner, slik det står i GitHubs varsel om skadevare. En melding om kompromitteringen ble opprettet i prosjektets eget repository i løpet av en time, og pakkeregisterets egen tidslinje viser at en ren versjon erstattet den samme ettermiddag. Angrep som dette lever i gapet mellom at en versjon legges ut og at noen legger merke til den.
Ferske versjoner holdes ute som standard. En versjon som ble publisert i morges, er ikke noe produktet ditt kommer til å kjøre i kveld. En dårlig versjon som blir meldt i løpet av de første dagene, er borte før produktet ditt kunne ha plukket den opp.
Teamet ditt slipper å følge med på nyhetene. Ingen hos dere trenger å følge sikkerhetsvarsler gjennom helgen og lure på om et varsel gjelder en pakke dere oppgraderte i går.
Standarden heller mot det forsiktige. For noe du ikke har skrevet selv og ikke kan gjennomgå fullt ut, er noen dagers tålmodighet en billig forsikring.
Slik ser det ut i praksis
Et populært bibliotek som produktet ditt er avhengig av, kunngjør en ny versjon en tirsdag. Ingenting skjer med produktet ditt den dagen. Innen fredag har versjonen vært ute i tre dager, andre har installert den, og alt som er galt med den, har hatt tid til å bli meldt. Først da kan den bli en del av en endring for produktet ditt.
Den endringen kommer dit du kan se den. Du bestemmer hva som lanseres. Ingenting når brukerne dine uten at du har godkjent det. Vil du heller holde igjen en oppgradering lenger, eller hoppe helt over en versjon, er det ditt valg.
De fleste uker merker du ingenting av dette, og det er nettopp poenget.
Denne evnen hører sammen med arbeid innenfor tilgangen du gir. Den siden handler om hva vi kan nå i systemene dine. Denne handler om hva som slippes inn i produktet ditt utenfra.
Hva det ikke er
Det er ikke en sikkerhetsrevisjon av avhengighetene dine, og det skanner ikke produktet ditt etter kjente svakheter. Det fjerner én bestemt, vanlig risiko, den helt nye forgiftede versjonen, og lar resten av sikkerhetspraksisen din ligge der den hører hjemme: hos deg.
Begynn med ett produkt, og se hvordan oppgraderingene det får, står seg mot de nyeste versjonene. Du vil se en kort, jevn forsinkelse, og færre overraskelser.
