La seguridad del software de código abierto da un nuevo paso adelante. GitHub y PyPI (Python Package Index) han anunciado nuevas medidas para frenar uno de los mayores riesgos actuales del desarrollo moderno: los ataques a la cadena de suministro (Supply Chain Attacks).
Ambas plataformas han apostado por una estrategia poco habitual pero muy efectiva: utilizar el tiempo como mecanismo de defensa. En lugar de centrarse únicamente en detectar malware, ahora buscan reducir la ventana en la que los atacantes pueden comprometer proyectos mediante paquetes maliciosos recién publicados o versiones antiguas manipuladas.
La decisión llega tras un año especialmente complicado para el ecosistema open source, marcado por campañas que lograron infectar miles de proyectos aprovechando la confianza de los desarrolladores en gestores de dependencias como npm o PyPI.
GitHub introduce un “periodo de enfriamiento” en Dependabot
La principal novedad llega de Dependabot, la herramienta de GitHub encargada de analizar dependencias y proponer automáticamente actualizaciones cuando aparece una nueva versión de una librería.
A partir de ahora, Dependabot incorporará por defecto un retraso de 72 horas antes de sugerir la instalación de un paquete recién publicado.
Este “cooldown” pretende evitar que proyectos y desarrolladores adopten automáticamente versiones que puedan contener código malicioso.
Aunque muchas amenazas son detectadas en cuestión de minutos gracias a herramientas de seguridad, la eliminación definitiva de un paquete comprometido suele requerir horas o incluso días. Ese intervalo es precisamente el que aprovechan los ciberdelincuentes para distribuir malware antes de que la comunidad reaccione.
GitHub considera que tres días ofrecen un equilibrio razonable entre seguridad y agilidad, aunque los responsables de cada proyecto podrán ajustar este periodo según sus necesidades.
PyPI cierra la puerta al “envenenamiento” de versiones antiguas
Por su parte, PyPI, el principal repositorio de paquetes para Python, ha implementado una política destinada a impedir una técnica conocida como release poisoning.
Desde ahora, los mantenedores no podrán añadir nuevos archivos a una versión publicada hace más de 14 días.
El objetivo es evitar un escenario especialmente peligroso: que un atacante robe las credenciales de un desarrollador y modifique una versión antigua que miles de proyectos consideran estable y segura.
Hasta ahora era técnicamente posible incorporar nuevos archivos a determinadas versiones ya publicadas, algo que podría utilizarse para introducir código malicioso sin necesidad de crear una nueva versión visible.
PyPI aclara que no existen casos públicos conocidos en los que esta técnica haya sido utilizada con éxito, pero ha decidido bloquearla de forma preventiva antes de que pueda convertirse en una amenaza real.
Una respuesta a una oleada de ataques contra el software open source
Estas medidas no llegan por casualidad. Durante los últimos meses, el ecosistema del software libre ha sufrido una sucesión de ataques que han puesto en evidencia la fragilidad de la cadena de suministro.
Entre las campañas más conocidas destacan:
- Chalk
- Debug
- s1ngularity
- Shai-Hulud
- GhostAction
En todos estos casos, los atacantes aprovecharon la confianza que los desarrolladores depositan en repositorios oficiales para distribuir código malicioso a través de paquetes aparentemente legítimos.
El impacto potencial de este tipo de ataques es enorme: comprometer una única biblioteca popular puede traducirse en miles de aplicaciones vulnerables en cuestión de horas.
El tiempo, una nueva capa de seguridad
La estrategia adoptada por GitHub y PyPI refleja un cambio de enfoque en la protección del desarrollo de software.
En lugar de confiar únicamente en herramientas de análisis, ambas plataformas buscan dificultar el trabajo de los atacantes limitando la rapidez con la que un paquete puede propagarse.
Este modelo ofrece varias ventajas:
- Reduce el riesgo de instalar versiones recién comprometidas.
- Da margen a investigadores y plataformas para detectar comportamientos maliciosos.
- Limita el impacto de credenciales robadas o tokens comprometidos.
- Incrementa la confianza en los ecosistemas de distribución de paquetes.
No elimina por completo el riesgo, pero sí reduce considerablemente la eficacia de muchas campañas automatizadas.
GitHub recuerda que estas medidas no sustituyen las buenas prácticas
La compañía también ha subrayado que el nuevo periodo de espera no protege frente a ataques más sofisticados o compromisos prolongados.
Por ello recomienda complementar esta medida con otras prácticas de seguridad, como:
- Fijar versiones específicas mediante lockfiles.
- Utilizar tokens con permisos mínimos.
- Deshabilitar scripts de instalación innecesarios en entornos de integración continua (CI/CD).
- Auditar periódicamente las dependencias utilizadas por cada proyecto.
La seguridad de la cadena de suministro depende tanto de las plataformas como de los propios equipos de desarrollo.
La cadena de suministro sigue siendo uno de los mayores desafíos del desarrollo moderno
Los ataques a bibliotecas y repositorios de código abierto se han convertido en una de las amenazas más rentables para la ciberdelincuencia. En lugar de atacar directamente a una empresa, los delincuentes comprometen componentes reutilizados por miles de proyectos, multiplicando el alcance de cada intrusión.
Las nuevas políticas de GitHub y PyPI muestran una tendencia clara: la protección del ecosistema open source ya no pasa solo por detectar malware, sino también por introducir mecanismos que dificulten su propagación.
En un entorno donde una única dependencia puede estar presente en millones de aplicaciones, retrasar una actualización durante unos días puede marcar la diferencia entre contener un incidente o desencadenar una infección masiva.