npm의 릴리스 쿨다운은 보안 연극일 뿐이다

NPM's release cooldown is security theater

npm, pnpm, yarn 등 패키지 매니저들이 악성 코드 유포를 막기 위해 릴리스 쿨다운(최소 릴리스 연령)을 도입하고 있다. 하지만 저자는 이 방식이 실제로는 효과가 없다고 주장한다. 커뮤니티가 패키지를 검증해 줄 것이라는 기대는 'Godot을 기다리는' 격이며, CI/CD 파이프라인도 탐지에 실패하거나 너무 늦게 반응한다. 대신 벤더링된 코드를 신뢰하지 말고, SAST, 샌드박스, LLM 기반 감사 등 적극적인 스캐닝을 통해 직접 검증(DYOR)해야 한다고 제안한다.