Dependabot rallenta per non promuovere release avvelenate
La novità non è un difetto di Dependabot, ma il cambio del modello di fiducia: GitHub sta rallentando gli aggiornamenti normali per evitare che un package appena avvelenato finisca subito in una pull request. In questo modo la finestra di rischio torna a essere quella della verifica umana, non la velocità della macchina.
La misura introduce un’attesa di tre giorni solo per i version bump non legati alla sicurezza. Gli update di sicurezza restano immediati; la leva serve a coprire il vuoto di poche ore in cui release malevole di npm possono pubblicarsi, diffondersi e sparire prima che arrivino ai revisori.
Per i flussi che auto-promuovono dipendenze di terze parti, il punto è questo: lasciare correre l’automazione è meno sicuro quando il package può essere compromesso e ritirato nel giro di ore. Il prezzo è meno freschezza, in cambio di un controllo più credibile sulla release che entra in verifica.