GitHub'ın package firewall'u açık önizlemeye girdi: npm kurulumlarını kötü yazılımlara karşı tarayacak

GitHub bir package firewall duyurdu

GitHub, yeni bir package firewall'u açık önizlemeye sundu; bu servis, build altyapısı ile upstream paket registry'leri arasında duran ve trafiği kötü niyetli etkinlik belirtileri açısından inceleyen bir yapı. Özelliği duyuran changelog gönderisine göre araç, data-resident planları dahil tüm GitHub Enterprise Cloud müşterileri için hemen kullanılabilir durumda ve önizleme süresince ücretsiz.

Gönderi, özelliği tedarik zinciri saldırılarının işleyişindeki bir değişime yanıt olarak çerçeveliyor. GitHub'a göre kötü yazılım kampanyalarının büyüyen bir kısmı artık doğrudan paket kurulum adımını istismar ediyor; bazı durumlarda paketin kendi kodu hiç çalışmadan CI/CD host'larından veya geliştirici iş istasyonlarından kimlik bilgileri çalıyor. 20 Ekim 2026 tarihli duyuru, Hacker News'in ana sayfasında da öne çıktı.

Firewall nasıl çalışıyor

Firewall, sonradan çalışan bir tarama aracı değil, inline bir proxy. GitHub Actions runner'ları ve kodlama ajanları gibi uç noktalar, paket isteklerini doğrudan upstream registry'lere değil firewall'a gönderecek şekilde yeniden yapılandırılıyor. Paket listeleri gibi metadata istekleri ve gerçek paket indirmeleri firewall'dan geçiyor; burada her istek, geçişine izin verilmeden önce kurumsal politikalara göre değerlendiriliyor.

Yöneticiler bu politikaları kuruluş düzeyinde yapılandırıyor. Lansmanda üç kontrol mevcut:

• Yapılandırılabilir bir bekleme (cooldown) süresi.
• Bilinen kötü yazılım ve güvenlik açlığı uyarıları için GitHub Advisory Database ile kontrol.
• Attestation düşürmeleri dahil tedarik zinciri kontrolleri.

Changelog gönderisi her kontrolün tam olarak nasıl davrandığını, örneğin bekleme süresinin neyi ertelediğini veya bir attestation düşürmesinin ne sayıldığını ayrıntıyla açıklamıyor. Firewall zararsız olduğu anlaşılan bir paketi engellediğinde, kullanıcılar GitHub'ın Advanced Security özelliklerinde kullanılanlara benzer olarak nitelendirdiği bir iş akışıyla istisna talep edebiliyor.

Kullanılabilirlik ve fiyatlandırma

GitHub'a göre açık önizleme döneminin amacı kısmen, servisin arkasındaki altyapıyı ölçeklendirmek ve müşteri talebine göre özellikler eklemek. Firewall önizlemedeyken ücretsiz. Genel kullanıma açıldığında, GitHub'ın Actions için ücretlendirdiğine benzer şekilde ölçülen, kullanıma dayalı bir faturalandırmaya geçecek.

Ana sınırlama ekosistem kapsamı: firewall şu anda yalnızca npm paketlerini destekliyor. Gönderi, Maven, NuGet veya PyPI gibi diğer registry'ler için desteğin ne zaman geleceğini belirtmiyor.

Neden önemli

Kurulum anındaki ele geçirme, paket ekosistemleri için kalıcı bir sorun haline geldi ve firewall, tepkisel değil yapısal bir yanıt sunuyor. Zorunlu kılma ağ katmanında gerçekleştiği için güvenlik ekipleri, kapsanan uç noktalardan yapılan her bağımlılık çekimi üzerinde merkezi, politika temelli bir denetim elde ediyor; bunun yerine tek tek geliştiricilerin veya pipeline'ların tarama araçlarını doğru şekilde kurmasına güvenmek zorunda kalmıyorlar. Bu tür kontroller ayrıca kötü niyetli paketlerin tipik yaşam döngüsünü hedefliyor: bu paketler sık sık yayımlanıyor, kurbanlar tarafından indiriliyor ve kısa bir süre içinde kaldırılıyor.

Duyurudaki iki ayrıntı, gelişmenin yönü açısından öne çıkıyor. Birincisi, kodlama ajanları CI runner'larının yanında birinci sınıf uç nokta türleri olarak listeleniyor; bu, yapay zeka asistanlarının artık bağımlılıkları özerk ve yüksek hacimli şekilde kurduğu ve saldırı yüzeyini genişlettiğinin bir kabulü. İkincisi, istisna iş akışı, GitHub'ın yanlış pozitifleri inline filtrelemenin olağan bir operasyonel maliyeti olarak beklediğine, bir istisna olmadığına işaret ediyor.

Uyarılar gerçek: yalnızca npm desteği, firewall'u bugün çok dilli kuruluşlar için sınırlıyor, her runner ve ajanın proxy üzerinden yönlendirilecek şekilde yeniden yapılandırılması gerekiyor ve genel kullanım sonrası ölçülen fiyatlandırma, büyük kurulumların taahhüt öncesi maliyeti modellemesi gerektiği anlamına geliyor. Ancak ağır npm kullanımıyla zaten GitHub Enterprise Cloud'a standardize olmuş kuruluşlar için önizleme, kötü niyetli paketler ile build makinelerindeki kimlik bilgileri arasına sert bir kontrol noktası koymenin düşük sürtünmeli bir yolunu sunuyor.