npm staged publishing está disponible: un paso de aprobación humana entra en la cadena de suministro de JavaScript

npm ha lanzado la publicación por etapas: los paquetes ahora pueden estar en un estado pendiente que requiere una aprobación humana explícita antes de ser instalables, una respuesta directa a las nuevas exposiciones en la cadena de suministro creadas por los flujos de trabajo de publicación asistidos por IA.

En términos sencillos. npm, el mayor registro de paquetes de JavaScript del mundo, añadió un modo de publicación por etapas. Los desarrolladores publican un paquete visible para revisión pero aún no instalable, y luego lo promueven manualmente a producción: un punto de control humano obligatorio antes de que el código llegue a la cadena de suministro.

Análisis. El momento no es casual. Los asistentes de codificación con IA generan sugerencias de dependencias y, a veces, "alucinan" nombres de paquetes que coinciden con otros reales pero maliciosos (typosquatting). Las herramientas de IA que instalan automáticamente dependencias al mencionarlas aumentan el riesgo. La publicación por etapas crea una ventana de revisión que importa en dos escenarios específicos: tuberías de CI automatizadas donde un token comprometido podría impulsar una versión maliciosa antes de que alguien lo note, y flujos de trabajo asistidos por IA donde un nombre de paquete "alucinado" se publica antes de la revisión humana. La función también se integra con la verificación de procedencia existente de npm, haciendo que toda la cadena —procedencia del código, revisión por etapas, promoción— sea auditables.

Bajo el capó. Los paquetes en etapa aparecen en los metadatos del registro pero se excluyen de la resolución de instalación hasta que se promuevan explícitamente. La función funciona con los ámbitos de control de acceso existentes.

¿Y qué? La publicación por etapas cambia npm de "publicar = en vivo" a "publicar = pendiente". La velocidad de adopción es la variable clave: la función solo funciona si los principales mantenedores de paquetes la habilitan. Observa si los marcos principales la hacen obligatoria para los contribuyentes.