Astral запускает аудит зависимостей и обнаружение вредоносных пакетов. Логика железная — uv уже стоит в точке входа миллионов проектов и видит весь граф зависимостей. Грех не проверять.
Тайпсквоттинг, малварь в PyPI, пакеты-двойники — не абстрактные угрозы.
pip install reqeusts — один символ, и вы узнаёте много нового о supply chain атаках.В Rust, Go и Node подобная инфраструктура существует давно. Python получает её теперь — и, судя по тому, как Astral делали uv и Ruff, делают это они быстро.
@zen_of_python (теперь в VK и Max)