パッケージマネージャはクールダウンが必要。今日のLiteLLMサプライチェーン攻撃をきっかけに、依存関係のクールダウンという考えを見直しました。これは、依存関係を更新してインストールするのは、何日か市場（現場）に出回ってからにし、その間にコミュニティが何らかの形で改ざんされていないかを見つけられるようにする、という実践です。

今回のこの取り組み（3月4日付）の記事で、Andrew Nesbittが、さまざまなパッケージングツールにおける依存関係クールダウンの現状をレビューしています。意外なほどサポートが充実しています！主要なパッケージングツールでは、次のような動きが相次いでいます：

• pnpm 10.16（2025年9月）— 信頼済みパッケージ向けのminimumReleaseAgeとminimumReleaseAgeExclude
• Yarn 4.10.0（2025年9月）— 例外（免除）のためのnpmMinimalAgeGate（分）とnpmPreapprovedPackages
• Bun 1.3（2025年10月）— bunfig.toml経由のminimumReleaseAge
• Deno 2.6（2025年12月）— deno updateとdeno outdated向けの--minimum-dependency-age
• uv 0.9.17（2025年12月）— 既存の--exclude-newerに相対期間のサポートを追加。さらにexclude-newer-packageによるパッケージ単位の上書きも可能
• pip 26.0（2026年1月）— --uploaded-prior-to（絶対タイムスタンプのみ。相対期間のサポートが要望されています）
• npm 11.10.0（2026年2月）— min-release-age

pipは現在、相対日付ではなく絶対日付のみをサポートしていますが、Seth Larson そのための回避策を提示しています。これは、cronでスケジュールしてpip.conf設定ファイル内の絶対日付を更新する方法です。