PyPIが14日以上前のリリースへの新規ファイルアップロードを拒否

PyPI Blog: Releases now reject new files after 14 days

Python Package Index（PyPI）は、公開から14日以上経過したリリースへの新規ファイルのアップロードを拒否するようになった。これは、公開トークンやワークフローの侵害による長期安定リリースの改ざんを防ぐための措置で、LiteLLMとTelnyxのサプライチェーン攻撃を受けて議論が再開された。PyPIのデータ分析では、上位15,000パッケージのうち、リリース公開から14日以上経過してからPython 3.14対応ホイールを公開したのはわずか56プロジェクトであり、影響は限定的と判断。この変更は、リリースの状態を「侵害済み」と「未侵害」の曖昧な状態にすることを防ぎ、ユーザーを保護する。