Чужой код у вас в Production. Как устроены Supply Chain Attacks и что с ними делать

Что может быть привычнее для разработчика, чем ежедневный ввод команд установки или обновления зависимостей: npm install , pip install , uv add , bundle add , cargo add ? Пакетный менеджер находит нужную библиотеку, скачивает её вместе с транзитивными зависимостями и за несколько секунд устанавливает в проект сотни тысяч строк чужого кода. В этот самый…