Dependabot
PulseAugur coverage of Dependabot — every cluster mentioning Dependabot across labs, papers, and developer communities, ranked by signal.
3 天有情绪数据
-
MCP配置缺陷导致未经信任的代码执行后门
MCP（模型通信协议）配置中发现了一个安全漏洞，其中`.mcp.json`文件可充当后门，允许未经信任的代码执行。该配置文件因其看似简单的配置而被忽视，但它可能授予第三方组织访问敏感凭证和模型指令流的权限。现有安全工具（如CodeQL和Dependabot）不会扫描这些配置文件，导致它们未被审查并容易被利用，从而产生了此漏洞。作者详细介绍了完整的攻击链，并提出了应对这些风险的缓解策略。
-
AI助手“幻觉”出程序包名称，带来恶意软件风险
一款AI编码助手向工程师推荐了一个不存在的程序包名称，这种现象被称为“slopsquatting”（恶意注册空名称）。该工程师之所以险些安装恶意软件，是因为他们手动检查了该程序包的注册页面，注意到其缺乏历史记录和下载量。这种漏洞的产生是因为AI模型可能会“幻觉”出程序包名称，攻击者随后可以注册这些名称并植入恶意代码，从而绕过仅检查已知漏洞的传统依赖项扫描工具。
-
恶意软件通过软件更新和AI代码生成传播
文章讨论了通过软件更新自动化工具传播恶意软件的威胁日益增加，特别是在npm注册表中。虽然恶意软件包并非新鲜事物，但一个利用包注册表作为传输层的蠕虫代表着重大升级。文章作者是GitHub的Dependabot团队负责人，他强调，像Dependabot这样的自动化工具虽然旨在提高安全性，但如果审查不当，可能会无意中传播恶意软件。文章还触及了与AI生成代码相关的安全风险，指出许多模型会生成有缺陷的代码，甚至会建议不存在的软件包，然后攻击者会…
-
GitHub 将 Dependabot 安全更新分组到月度批次
GitHub 的 Dependabot 现在可以配置为将安全更新分组到月度批次中，从而减少每日通知的噪音。此更改旨在通过将频繁的小型更新转换为可预测的大型批次，使安全工作流程更易于管理。
-
开发者提出基于收据的方法来验证 AI 代理行为
一位开发者提出了一种验证 AI 代理按预期执行的方法，即使在依赖项更新后也能如此。该方法包括记录已知良好代理运行的基线，捕获精确的工具调用、参数和输出。此记录（称为“收据”）随后用于重放代理的行为，而无需进行 LLM 调用，从而允许与基线进行差异比较以检测功能上的任何变化。此过程可以集成到 CI/CD 管道中，例如 GitHub Actions，以自动标记由依赖项更新引入的潜在回归。
-
GitHub 的 Dependabot 为非安全更新增加了 3 天冷却期
Dependabot 是 GitHub 开发的一款工具，已实施新的默认策略，对非安全相关的版本更新设置三天冷却期。此举旨在减轻与供应链攻击相关的风险。关键安全补丁将继续立即部署。
-
GitHub Changeling 采用冷却期；提及 GPT-5.6 和 Claude Fable
Simon Willison 的博客文章讨论了 "GitHub Changeling" 功能，该功能现在包含一个默认的三天冷却期，之后 Dependabot 才会为新版本创建拉取请求。此更改旨在通过确保新版本已可用一段时间来提供稳定性。文章还提到了 AI 模型方面的最新进展，包括 GPT-5.6 系列（Luna、Terra、Sol）以及在 sqlite-utils 4.0 开发中使用 Claude Fable。
-
Node.js 使用 AI 来应对海量自动化安全报告
Node.js 正面临大量自动化安全报告的涌入，促使该项目探索由 AI 驱动的解决方案来管理这些报告的数量。该项目正在考虑使用 AI 来过滤和优先处理这些报告，旨在区分真实的漏洞和误报。这项举措正在开源社区内进行讨论，并可能涉及 Open Source Security Foundation 等组织。
-
DepsGuard 工具加固软件依赖项配置
DepsGuard 是一款新的命令行工具，旨在通过加固依赖项管理配置来增强软件开发的安全性。它扫描 npm、pnpm、yarn、bun 和 uv 等常用包管理器，并将其设置与推荐的安全实践进行比较。该工具提供交互式文本界面来审查潜在问题并应用修复，并提供只读扫描和恢复先前配置的选项。
-
开源仓库审计发现星标具有误导性，下载量显示真实使用情况
对25个开源仓库的审计显示，GitHub星标是衡量实际使用情况的糟糕指标，下载量显示了显著更高的采用率。作者分析了来自GitHub、npm、crates.io和PyPI的数据，将星标与包安装量进行比较。虽然大多数仓库的星标很少或没有，但有几个包在发布后几周内就获得了数千次下载，表明用户真正参与其中。