npm staged publishingがリリースされました。JavaScriptサプライチェーンに人間による承認ステップが導入されます。

npmはステージド公開を導入しました：パッケージは保留状態に置かれ、明示的な人間による承認がなければインストール可能にならないようになりました。これは、AI支援の公開パイプラインが新たなサプライチェーンのリスクを生み出していることに対する直接的な対応です。

簡単に言うと。 npm（世界最大のJavaScriptパッケージレジストリ）にステージング公開モードが追加されました。開発者はレビュー可能だがまだインストールできないパッケージを公開し、手動で本番環境に昇格させます。これはコードがサプライチェーンに到達する前に必須の人間によるチェックポイントです。

分析。 このタイミングは偶然ではありません。AIコーディングアシスタントが依存関係を提案し、時には悪意のある実在パッケージと名前が衝突する幻覚（タイポスワッティング）を引き起こすことがあります。依存関係を自動インストールするAIツールはリスクをさらに悪化させます。ステージング公開により、2つの特定のシナリオで重要なレビューウィンドウが生まれます。1つは、侵害されたトークンが悪意のあるリリースを誰も気づかないうちにプッシュしてしまう可能性のある自動CIパイプライン、もう1つは幻覚されたパッケージ名が人間によるレビュー前に公開されてしまうAI支援ワークフローです。この機能はnpmの既存の provenance 証明書とも統合され、コードの provenance、ステージングレビュー、昇格までの全チェーンが監査可能になります。

仕組み。 ステージングパッケージはレジストリメタデータに表示されますが、明示的に昇格されるまでインストール解決から除外されます。この機能は既存のアクセスコントロールスコープと連動します。

まとめ。 ステージング公開により、npmは「公開=本番」から「公開=保留」へと移行します。採用の速度が鍵であり、人気パッケージのメンテナーが有効化するかどうかが重要です。主要フレームワークが貢献者に対して必須化するかどうかを見守りましょう。