La novità non è una nuova falla. GitHub e PyPI stanno cambiando il tempo di esposizione dei pacchetti, così l’automazione non consuma subito una release appena pubblicata e ha più margine per lasciar emergere un artefatto avvelenato prima che entri nei repository.
Dependabot attenderà tre giorni prima di aprire pull request per i bump non di sicurezza, con possibilità di modifica in dependabot.yml. PyPI, invece, bloccherà l’upload di nuovi file su release più vecchie di 14 giorni, una stretta pensata per rendere meno utile l’abuso di token o workflow compromessi e per impedire che versioni già considerate stabili vengano riscritte.
Per chi pubblica pacchetti Python o si affida a Dependabot, il punto è che la velocità non è più il valore assoluto: il rischio si sposta sulle scelte locali di configurazione e sulla fiducia nelle release vecchie, che non vanno più considerate facilmente modificabili.