Инженер Trail of Bits поднял стенд на Docker и mitmproxy, подставил вредоносный код в ответы «взломанного» репозитория и прогнал 25 популярных менеджеров пакетов. Только Go и vcpkg проверяют целостность каждого пакета по умолчанию, подписи по умолчанию проверяет один Go. Что делают npm, pip, Cargo…