Создатели Ruff и uv теперь займутся безопасностью Python-зависимостей

Astral — команда, которая уже переписала линтер и пакетный менеджер Python до состояния «теперь это стандарт» — запускает новое направление: аудит зависимостей и обнаружение вредоносных пакетов. Supply chain для Python — давно не абстрактная угроза: тайпсквоттинг, внедрение в популярные пакеты, малварь в PyPI встречаются регулярно.

Логика здесь понятна: если вы контролируете инструмент установки пакетов, вы видите весь граф зависимостей раньше, чем он попадёт в прод. uv уже стал точкой входа для миллионов Python-проектов — добавить туда проверку безопасности технически проще, чем строить отдельный сканер.

Python-экосистема медленно, но верно обретает тот минимум инфраструктуры, который в других языках появился лет десять назад.

@your_tech (теперь ещё в VK и Max)