AI 요약
GitHub의 Dependabot이 버전 업데이트 시 새 릴리스가 레지스트리에 등록된 후 최소 3일간 대기하는 '패키지 쿨다운' 기능을 기본값으로 도입했다. 이는 공급망 공격에서 손상된 패키지가 유포되기 전 커뮤니티의 신호를 포착할 시간을 확보하기 위한 조치다. 보안 업데이트는 즉시 처리되며, 사용자는 설정을 통해 대기 기간을 조정하거나 기능을 해제할 수 있다.
핵심 포인트
- 새 릴리스 등록 후 3일 대기가 기본값이며 별도 설정 불필요
- 보안 업데이트는 지연 없이 즉시 실행되어 중요 패치 지연 방지
- .github/dependabot.yml 파일에서 대기 기간 조정 또는 해제 가능
- GitHub Enterprise Server 3.23부터 적용
향후 전망
- 공급망 공격 대응을 위한 자동화된 안전장치가 CI/CD 도구의 표준 기능으로 확산될 가능성
- 패키지 생태계 전반의 신뢰성 향상에 기여할 것으로 예상