De veiligheid van open source-ecosystemen staat onder toenemende druk door de stijgende frequentie van aanvallen op de software supply chain. In een recent onderzoek, gepubliceerd op 20 oktober 2026, stelt onderzoeker Derek Garcia dat kwaadwillenden systematisch misbruik maken van het vertrouwen binnen deze netwerken. Recente voorbeelden, zoals de Shai-Hulud-worm en het Axios-compromis, tonen aan hoe een enkel kwaadaardig pakket een enorme impact kan hebben op diverse systemen.
Kwetsbaarheid van centrale registers
In de studie met de titel "Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain", die beschikbaar is via arxiv.org, worden pakketregisters geïdentificeerd als een kritiek zwak punt. Hoewel deze registers het ophalen van vooraf gebouwde pakketten vergemakkelijken, creëren ze volgens de auteur een groot aanvalsoppervlak. De centrale stelling van het onderzoek is dat malafide actoren bewust geen links naar broncode toevoegen om hun activiteiten te maskeren, terwijl legitieme ontwikkelaars juist transparantie nastreven door hun repositories te koppelen.
Om deze theorie te staven, heeft Garcia een uitgebreide analyse uitgevoerd. Hij maakte gebruik van een dataset van 47.066 malafide pakketten uit vijf verschillende bronnen (vier academisch en één industrieel). Daarnaast analyseerde hij een snapshot van 764.000 PyPI-pakketten en 3,9 miljoen npm-pakketten. De uiteindelijke vergelijking vond plaats tussen alle malafide monsters en een steekproef van 33.138 legitieme pakketten, verdeeld over beide registers.
Effectiviteit van bronverificatie
De resultaten van het onderzoek suggereren dat een eenvoudige controle op de aanwezigheid van een bronvermelding zeer effectief kan zijn. Afhankelijk van de intensiteit van de controle op de broncode, zou deze methode tussen de 87,7 en 99,9 procent van de malware-infecties kunnen voorkomen. Volgens de zou het volledig elimineren van het register als tussenstap — door pakketten direct vanuit de broncode te bouwen — een krachtige strategie zijn om malware buiten de deur te houden.
Er is echter een praktische hindernis: de huidige mate van transparantie is laag. Uit de data blijkt dat slechts 47,4 procent van de goedaardige pakketten een link bevat naar een bron waar een gebruiker daadwerkelijk een build vanuit kan starten. Dit betekent dat een grote groep legitieme ontwikkelaars momenteel nog niet voldoet aan de criteria voor een volledig transparante workflow.
Conceptuele verschuiving in beveiliging
Het onderzoek stelt een fundamentele wijziging voor in de distributiewijze van software, waarbij de focus verschuift van het reactief scannen van malware naar een structurele preventie. De effectiviteit van deze aanpak wordt in het papier afgezet tegen de huidige state-of-the-art security scanners.
Interessant is het gebruik van de term "sign" in de titel van het onderzoek. Waar het cambridge.org de term "sign" primair definieert als het fysiek ondertekenen van een document om akkoord te gaan of auteurschap te bevestigen, hanteert Garcia de term in een technische context. Hierbij staat het niet zozeer om een handtekening, maar om de noodzaak van herleidbaarheid en de correcte attributie van softwarebronnen.
De conclusie van de studie is dat de softwareindustrie voor een keuze staat: het behouden van het gemak van prebuilt pakketten via centrale registers, of het overstappen op een veiligere, bron-gebaseerde workflow. De volledige methodologie en de gedetailleerde resultaten zijn te vinden in het .