[Перевод] Почему сканеры на практике дают сбой: уроки атак Shai-Hulud на NPM
43
Когда волна компрометаций в NPM накрывает экосистему, выясняется неприятное: «знать свои зависимости» недостаточно, если вредонос успевает отработать ещё на этапе установки и сборки. В этом разборе — почему популярные SCA/SBOM-сканеры то молчат, то шумят ложняками на кейсе Shai-Hulud, как решает (или не решает) вопрос выбор источника уязвимостей, и почему malware-advisories оказываются невидимкой для части инструментов. В итоге речь не про очередной чеклист, а про реальные границы автоматического контроля цепочки поставок.
Внутрь инцидента