GitHub расширил Malware Advisories за пределы npm

GitHub объявил о масштабном обновлении своей системы предупреждений о вредоносных пакетах. Ранее Malware Advisories ограничивались npm‑экосистемой, но теперь в базу Advisory Database интегрированы данные OpenSSF Malicious Packages – репозиторий, собирающий информацию о подозрительных пакетах из более чем 30 языков и менеджеров зависимостей.

Команда безопасности GitHub построила «параноидальный» конвейер, который автоматически проверяет новые и обновлённые пакеты в реальном времени. При обнаружении потенциально опасного кода система создает advisory, который сразу же распространяется по всем интегрированным сервисам GitHub – Dependabot, Security Alerts и Code Scanning. Это позволяет разработчикам получать предупреждения ещё до того, как они включат зависимость в проект.

Ключевые особенности нового пайплайна:

• Единый источник правды – все данные о вредоносных пакетах собираются в единой базе, что упрощает их потребление.
• Поддержка более 30 менеджеров пакетов (npm, PyPI, RubyGems, Maven, Cargo и др.).
• Автоматическое создание advisory при обнаружении совпадений с базой OpenSSF.
• Интеграция с Dependabot: автоматическое открытие pull‑request‑ов для обновления или удаления уязвимых зависимостей.
• Повышенная прозрачность: каждый advisory содержит ссылки на оригинальные репозитории, хеши файлов и доказательства компрометации.

GitHub подчёркивает, что процесс построения пайплайна включал несколько уровней валидации и «параноидальную» проверку на ложные срабатывания, чтобы минимизировать шум для разработчиков. По словам команды, уже в первые недели после запуска система обнаружила более 150 новых вредоносных пакетов, которые ранее не попадали в radar.

Эта инициатива укрепляет позицию GitHub как центрального узла в экосистеме DevSecOps и демонстрирует растущее сотрудничество между крупными платформами и открытыми инициативами по безопасности цепочки поставок.