GitLab ra mắt Dependency Firewall chặn gói phần mềm rủi ro trước khi build
GitLab công bố Dependency Firewall ở giai đoạn truy cập sớm tại sự kiện Transcend. Công cụ này chặn các gói phần mềm khớp với chính sách bảo mật, như gói độc hại, có lỗ hổng hoặc không tuân thủ, trước khi chúng vào quá trình build. GitLab cho biết mối đe dọa là có thật: vào tháng 6/2026, các nhà nghiên cứu của hãng phát hiện năm gói PyPI độc hại, trong đó bốn gói giả mạo tên (typosquat) Flask, Requests và NumPy, chạy ngay lúc cài đặt và đánh cắp thông tin xác thực CI/CD, tức các bí mật mà pipeline dùng để truy cập hệ thống khác. Hãng cũng lưu ý rằng các AI coding agent hiện tự thêm thư viện mã nguồn mở, thường không qua kiểm duyệt của con người, và một gói xấu trong pipeline sẽ chạy với cùng quyền truy cập như pipeline. Ý tưởng là chặn mã rủi ro trước khi cài, để nhóm phát triển không phải truy vết, gỡ bỏ hay build lại về sau, trong khi lập trình viên và agent của họ vẫn có thể lấy những thư viện cần dùng.
Nếu nhóm bạn dùng GitLab CI/CD hoặc để AI agent tự thêm thư viện, đây là lớp bảo vệ đáng theo dõi vì hiện mới ở giai đoạn truy cập sớm. Trong lúc chờ, hãy rà soát tên gói kỹ trước khi cài và hạn chế quyền của pipeline.
Đọc bài gốc