GitHub thêm package firewall và dữ liệu phiên bản Dependabot để xử lý rủi ro thư viện

Hai lớp mới: chặn khi cài và hiểu rõ hơn khi có cảnh báo

GitHub công bố ngày 20/10/2026 mở public preview package firewall cho khách hàng Enterprise Cloud, gồm cả gói có data residency. Cùng ngày, Dependabot alerts REST API bổ sung dữ liệu phiên bản của dependency mà hệ thống ghi nhận. Một thay đổi hướng tới ngăn gói rủi ro đi vào môi trường; thay đổi còn lại giúp đội bảo mật biết cảnh báo liên quan phiên bản nào trong repository.

Điểm chung là giảm khoảng trống giữa cảnh báo và quyết định xử lý. Một thư viện có advisory nghiêm trọng chưa có nghĩa phiên bản trong dự án nằm trong dải lỗi; ngược lại, chỉ quét mã sau khi cài đặt có thể quá muộn với gói độc hại chạy tác vụ lúc cài. Đây là hai công bố sản phẩm riêng, không phải thông báo GitHub vừa xác nhận mọi repository bị xâm nhập.

Package firewall cần chính sách và đường đi thật của gói npm

Firewall đứng giữa endpoint, như máy lập trình viên, CI hoặc coding agent, với registry gói. GitHub cho phép cấu hình thời gian chờ tối thiểu của bản phát hành, kiểm tra cảnh báo malware/lỗ hổng và một số dấu hiệu chuỗi cung ứng như attestation downgrade. Attestation là dữ liệu xác nhận nguồn gốc; kiểm tra đó không đồng nghĩa chứng minh mọi gói còn lại đều an toàn.

Sau khi quản trị viên chọn chính sách, endpoint vẫn cần được cấu hình dùng registry đi qua firewall. Một runner còn tải trực tiếp từ registry gốc có thể nằm ngoài lớp kiểm tra này. Friday Works đề nghị kiểm kê cả job CI tạm thời và môi trường coding agent, thay vì chỉ kiểm tra máy kỹ sư đã đổi cấu hình.

Tính năng hiện chỉ hỗ trợ npm, miễn phí trong preview; GitHub dự kiến tính phí theo mức sử dụng khi GA nhưng thông báo chưa đưa giá cụ thể. Cần có quy trình ngoại lệ cho trường hợp chặn nhầm, nhất là khi thời gian chờ có thể làm chậm một bản vá khẩn. Không đặt ngoại lệ quá rộng chỉ để pipeline chạy lại.

Dependabot thêm phiên bản, nhưng không phải lúc nào cũng là số chính xác

Trong đối tượng dependency của cảnh báo, trường version_requirement mới giữ phiên bản hoặc ràng buộc mà Dependabot ghi nhận gần nhất. Với lockfile hoặc dữ liệu gửi qua dependency submission, đó có thể là phiên bản đã phân giải; với manifest không có lockfile, đó có thể chỉ là ràng buộc được khai báo. Nó khác dải phiên bản bị ảnh hưởng do advisory mô tả.

Trường có thể null nếu không có dữ liệu; khi một cảnh báo bao phủ nhiều phiên bản, một giá trị không nhất thiết đại diện tất cả. Ràng buộc dài còn có thể bị cắt ngắn. Một bộ đồng bộ cảnh báo cần giữ trạng thái “chưa đủ thông tin”, không tự đổi null thành an toàn hoặc dùng một giá trị để đóng toàn bộ cảnh báo.

Dữ liệu xuất hiện ở alert đơn lẻ, danh sách cấp repository/tổ chức/enterprise và webhook liên quan. GitHub nêu đã khả dụng trên github.com và Enterprise Cloud có data residency; Enterprise Server sẽ có trong 3.24. Không báo tính năng đã có trên mọi máy chủ Enterprise Server đang chạy.

Thử trên dự án mẫu trước khi thay quy trình toàn công ty

Friday Works khuyến nghị thử firewall trên một dự án npm do công ty quản lý, xác nhận nguồn registry thực, trường hợp được phép và yêu cầu ngoại lệ. Không cần tải malware hoặc kiểm thử hệ thống của người khác để xác nhận đường đi. Ghi lại tác động tới thời gian build và khả năng nhận bản vá khẩn trước khi mở rộng.

Với bộ đồng bộ Dependabot, dùng quyền API vừa đủ và đối chiếu mẫu có lockfile, chỉ manifest và giá trị thiếu. Kiểm tra định danh repository, manifest, package và trạng thái cảnh báo trước khi hợp nhất vào công cụ xử lý. Khả năng tạo ticket đúng hơn là giả thuyết cần đo, chưa phải mức tiết kiệm được GitHub bảo đảm.

Ảnh bìa là danh sách Dependabot alerts thật từ GitHub Docs, CC BY 4.0, dữ liệu demo tư liệu. Nó minh họa phần cảnh báo đang phân tích, không phải màn hình package firewall hoặc cột UI mới; các lỗi trong ảnh không được đưa tin như lỗ hổng mới ngày 20/10.