Supply Chain Hardening (Grade B)Sicherheitstestete Daten- und AI-Fähigkeit für Claude AI. Grade B. Konfigurieren Sie Installiert-Timedauer-Ausschläge für npm/bun (mindestens Release-Alterszeitraum) und führen Sie ein sanftes Voreinstallations-Scout durch, wenn der Ausschluss erfolgen muss.

Supply Chain Hardening (Grade B) ist eine sicherheitstestspezifische Data-AI-Fähigkeit für Claude AI, die eine Journalism-Toolchain gegen npm/bun-Angriffe in der Lieferkette schützt. Sie konfiguriert Installationsverzögerungen für npm/bun (minimale Release-Alter) und führt einen Sandbox-Scan vor der Installation durch, wenn die Verzögerung umgangen werden muss. Diese Fähigkeit wird verwendet, um Angriffe zu verhindern, bei denen ein schädliches Paket installiert wird, bevor es bemerkt wird, wie z. B. beim Mini Shai-Hulud TanStack-Angriff. Die Verteidigung ist mehrschichtig und einfach: Installationsverzögerung, Sandbox-Scan vor der Installation und Überspringen von Lebenszyklusskripten bei Installationen, die die Verzögerung umgehen. Die Verzögerungsperiode beträgt standardmäßig 7 Tage. Die Fähigkeit erfordert npm 11+ oder bun 1.3+. Die Abkühlphase kann mit den Flags --min-release-age=0 und --ignore-scripts für npm und --minimum-release-age=0 und --ignore-scripts für bun umgangen werden. Dies erfordert jedoch eine menschenlesbare Überprüfung des Postinstall-Skripts des Pakets. Native Module, die Postinstall benötigen, können das Skript manuell nach einer Überprüfung ausführen lassen. Die Fähigkeit kann mithilfe von ~/.npmrc oder dem Projekt .npmrc für npm und ~/.bunfig.toml oder dem Projekt bunfig.toml für bun konfiguriert werden. Die Konfigurationsschlüssel sind min-release-age für npm und minimumReleaseAge für bun. Zu den Vorteilen dieser Fähigkeit gehören das Verhindern von Angriffen auf die Lieferkette, das Verteidigen gegen schädliche Pakete und das Bereitstellen einer mehrschichtigen Verteidigung. Es gibt jedoch Einschränkungen bei dieser Fähigkeit. Sie kann legitime Installationen blockieren, wenn die Abkühlperiode zu lang ist. Darüber hinaus kann der sandboxed Vor-Installations-Scan möglicherweise nicht alle schädlichen Pakete erkennen. Die Fähigkeit verfügt über mehrere Funktionen, darunter eine Installations-Kühlperiode, ein sandboxbasierter Vorab-Scan vor der Installation und das Überspringen von Lebenszyklusskripten. Anwendungsfälle für diese Fähigkeit sind die Abwehr von Angriffen auf die Lieferkette, die Sicherung gegen Shai-Hulud-Klasse-Würmer und die sichere Installation kürzlich veröffentlichter Pakete.