GitHub thêm cơ chế chờ 3 ngày cho Dependabot nhằm giảm rủi ro lan truyền gói bị đầu độc
"GitHub introduced a default 3-day cooldown in Dependabot so version updates wait at least three days after a release is published before opening a pull request, reducing the chance that poisoned packages are quickly adopted downstream. Security updates are still delivered immediately, and the cooldown can be overridden in dependabot.yml; GitHub also recommends complementary controls such as lockfiles, disabling install scripts in CI, scoping tokens, and reviewing updates before merge."
Cơ chế 3-day cooldown giúp giảm cửa sổ thời gian để chuỗi cung ứng bị mở rộng khi một phiên bản bị đầu độc được lan truyền nhanh; đồng thời vẫn giữ security updates ở chế độ cập nhật tức thời. Tác động chính nằm ở việc giảm khả năng poisoned version adoption trong các bản cập nhật phiên bản.
Cooldown có thể làm chậm một phần version updates (không phải security updates), ảnh hưởng nhịp cập nhật phụ thuộc. Tuy nhiên, việc giảm rủi ro sự cố chuỗi cung ứng và tăng khả năng kiểm soát thay đổi qua review trước merge có thể giảm chi phí xử lý sự cố.
GitHub công bố cơ chế cooldown mặc định 3 ngày trong Dependabot: khi có bản phát hành mới, công cụ sẽ chờ ít nhất 3 ngày trước khi mở pull request cập nhật phiên bản. Thay đổi này nhằm giảm khả năng các dự án phụ thuộc “kịp” áp dụng nhanh một gói bị poisoned (bị cài mã độc) trước khi phiên bản đó bị thu hồi khỏi registry.
Theo GitHub, cooldown mặc định chỉ áp dụng cho version updates (cập nhật phiên bản để duy trì phụ thuộc mới), trong khi security updates vẫn được đẩy ngay để Dependabot có thể cảnh báo và tạo PR đưa dự án về bản đã vá. Cấu hình vẫn do dependabot.yml điều khiển; tổ chức có thể chỉnh tham số cooldown phù hợp.
GitHub nhấn mạnh đây chỉ là một lớp phòng vệ theo mô hình nhiều lớp. Các khuyến nghị bổ sung gồm pin dependencies bằng lockfiles, tắt install scripts trong CI, giới hạn phạm vi token trong pipeline, và rà soát thay đổi trước khi merge. Bài viết cũng ghi nhận xu hướng tương tự ở nhiều hệ sinh thái gói khác, đồng thời PyPI dự kiến chặn việc thêm tệp mới vào release sau 14 ngày.