OpenSSF и крупные компании профинансируют реестры пакетов

OpenSSF и компании Arm, Google, Microsoft, GitHub, IBM, Red Hat, Dell, Ericsson, Datadog, Sonatype и Rust Foundation заявили, что текущая модель финансирования публичных реестров пакетов (PyPI, npm, Maven Central, crates.io и др.) больше не устойчива. Они обязуются платить как корпоративные клиенты; для частных разработчиков пакеты останутся бесплатными.

• Загрузки из реестров растут на 30–50% в год из-за ИИ-агентов
• В 2026 году нашли более 1,8 млн вредоносных пакетов — больше, чем за 2025
• Ожидается рост публикаций пакетов в 3–5 раз из-за ИИ-уязвимостей
• Рабочую группу курирует Linux Foundation, реестры сохранят автономию