Supply Chain Hardening (Grade B)Intégrez le grand pare-fichier AIsupplyChain avec npm/bun pour un AI solidement interfacé avec les infrastructures de développement.

Supply Chain Hardening (Grade B) est une compétence de données et d'intelligence artificielle testée pour la sécurité, conçue pour Claude AI, qui défend une chaîne d'outils de journalisme contre les attaques de la chaîne d'approvisionnement npm/bun. Elle configure des temps de refroidissement lors de l'installation pour npm/bun (âge minimum de sortie) et exécute une analyse de pré-installation dans un environnement sandboxé lorsque le temps de refroidissement doit être contourné. Cette compétence est utilisée pour prévenir les attaques où un paquet malveillant est installé avant d'être détecté, comme l'attaque Mini Shai-Hulud TanStack. La défense est stratifiée et simple : temps de refroidissement lors de l'installation, analyse de pré-installation dans un environnement sandboxé, et saut des scripts de cycle de vie lors des installations de contournement du temps de refroidissement. La période de refroidissement est de 7 jours par défaut. La compétence nécessite npm 11+ ou bun 1.3+. La période de refroidissement peut être contourné avec les标志 --min-release-age=0 et --ignore-scripts pour npm, et --minimum-release-age=0 et --ignore-scripts pour bun. Cependant, cela nécessite une revue manuelle lisible par un humain du script postinstall du package. Les modules natifs qui nécessitent un script postinstall peuvent voir ce script exécuté manuellement après revue. La compétence peut être configurée à l'aide de ~/.npmrc ou de .npmrc de projet pour npm, et de ~/.bunfig.toml ou de bunfig.toml de projet pour bun. Les clés de configuration sont min-release-age pour npm et minimumReleaseAge pour bun. Les avantages de cette compétence incluent la prévention des attaques de la chaîne d'approvisionnement, la défense contre les packages malveillants et la fourniture d'une défense en couches. Cependant, il y a des limites à cette compétence. Elle peut bloquer des installations légitimes si la période de refroidissement est trop longue. De plus, l'analyse de pré-installation en sandbox peut ne pas détecter tous les packages malveillants. L'outil dispose de plusieurs fonctionnalités, notamment un refroidissement à temps d'installation, une analyse de pré-installation sandboxée et le saut des scripts de cycle de vie. Les cas d'utilisation de cette compétence comprennent la défense contre les attaques de la chaîne d'approvisionnement, le renforcement contre les vers de classe Shai-Hulud, et l'installation sécurisée de packages récemment publiés.