npmのリリース冷却期間はセキュリティ劇場に過ぎない

NPM's release cooldown is security theater

npm、pnpm、yarnなどが導入したパッケージのリリース冷却期間（最短リリース年齢）は、悪意のあるコードからコミュニティを守るという名目だが、実際には機能しないと筆者は主張する。誰もが他人が検証するのを待つため、結局誰も検証せず、CI/CDパイプラインも悪意のあるコードを検出できない。代わりに、ベンダリングされたコードを静的解析ツールやサンドボックス、LLM支援監査で能動的にスキャンする「DYOR（自己責任）」を推奨する。