O publicação em estágios do npm está ativa - um passo de aprovação humana entra na cadeia de suprimentos do JavaScript

npm lançou a publicação em estágios: os pacotes agora podem ficar em um estado pendente, exigindo aprovação humana explícita antes de se tornarem instaláveis — uma resposta direta às novas exposições na cadeia de suprimentos criadas por pipelines de publicação assistida por IA.

Em termos simples. O npm, o maior registro de pacotes JavaScript do mundo, adicionou um modo de publicação em etapas. Os desenvolvedores publicam um pacote visível para revisão, mas ainda não instalável, e depois promovem manualmente para produção — um ponto de controle humano obrigatório antes que o código chegue à cadeia de suprimentos.

Análise. A implementação não é coincidência. Assistentes de codificação com IA geram sugestões de dependências e, às vezes, "alucinam" nomes de pacotes que entram em conflito com pacotes reais, mas maliciosos (typosquatting). Ferramentas de IA que instalam automaticamente dependências mencionadas agravam o risco. A publicação em etapas cria uma janela de revisão que é crucial em dois cenários específicos: pipelines automatizados de CI, onde um token comprometido poderia empurrar uma versão maliciosa antes que alguém perceba, e fluxos de trabalho assistidos por IA, onde um nome de pacote "alucinado" é publicado antes da revisão humana. O recurso também se integra à verificação de proveniência existente do npm, tornando toda a cadeia — proveniência do código, revisão em etapas e promoção — auditável.

Por baixo dos panos. Pacotes em etapas aparecem nos metadados do registro, mas são excluídos da resolução de instalação até serem explicitamente promovidos. O recurso funciona com escopos de controle de acesso existentes.

E daí? A publicação em etapas muda o npm de "publicar = ao vivo" para "publicar = pendente". A velocidade de adoção é a variável-chave — o recurso só funciona se mantenedores populares de pacotes o ativarem. Observe se grandes frameworks o tornam obrigatório para contribuidores.