GitHub의 Dependabot이 기존 npm뿐만 아니라 PyPI, Maven, RubyGems, NuGet, Go, crates.io, PHP Composer 등 총 8개의 주요 패키지 생태계로 malware 탐지 기능을 확대했다는 소식입니다. 이번 업데이트는 OpenSSF의 malicious-packages repository에서 제공하는 OSV format 데이터를 활용하여 구축되었습니다. GitHub은 데이터 정규화 과정과 중복 제거(dedup)를 거쳐 정확한 정보를 제공하며, 잘못된 데이터로 인한 혼란을 방지하기 위해 Batch caps, Provenance, Rollback과 같은 강력한 보안 조치를 도입했습니다. 이제 개발자들은 GitHub 설정에서 malware alerts를 opt-in 방식으로 활성화하여 자신의 프로젝트 내 dependency의 보안을 더욱 효과적으로 관리할 수 있습니다.