#なぜ今日これを選んだか

Rust学習が本格化してきた今、エンジニアの足場として「依存の信頼」は言語を問わない必修テーマだから。これはnpmの事件だが、cargoでも全く同じ構図でメンテナ乗っ取りは起こりうる。便利なパッケージをどんどん足していく前に、信頼の境界が広がる怖さを早めに体に入れておきたかった。

#要点

• atool メンテナのアカウントが乗っ取られ、22分間で314パッケージに631もの悪意あるバージョンがpushされた
• @antv系、echarts-for-react、size-sensor、timeago.js など広く使われるパッケージが汚染対象に
• “Shai-Hulud” 系の自動増殖型攻撃で、被害が短時間に連鎖的に拡大した

#自分にとっての示唆

Rustでツールを作り始めると、便利なクレートをCargo.tomlにどんどん追加したくなる。でもこの事件は「依存を1つ足すたびに信頼の境界が広がる」ことを突きつける。npmだけの話ではなく、cargoでも同じだ。明日から実践できるのは3つ。(1)その依存は本当に必要か一度立ち止まり、最小限に保つ。(2)Cargo.lock / lockfileをコミットしてバージョンを固定し、無防備な自動更新を避ける。(3)cargo audit のような脆弱性チェックを習慣化する。攻撃はわずか22分で完了した。気づいてから動くのでは遅い。土台づくりの今こそ、安全な依存管理を手癖にしておく。

原文を読む →