Aikido Package Health：依存関係を安全に評価する新しい方法

【なぜ重要か】 オープンソースパッケージの選定において、脆弱性情報だけでは長期的な安全性を判断できません。メンテナンス品質や供給チェーンリスクを包括的に評価する仕組みが、プロジェクトの安定性確保に不可欠です。

【ポイント】

• Aikido Package Healthは5つの指標（依存関係の安定性、メンテナー継続性、成熟度、供給チェーンスクリプト、認証情報）から単一のヘルススコアを算出
• 依存関係ツリーの変動、リリース作成者の一貫性、バージョン履歴の予測可能性を時系列で分析
• インストール時スクリプトの安全性評価と、ビルドの真正性を証明するプロベナンス・SBOM認証の有無をチェック
• メンテナー向けに、依存関係の最小化、継続的リリース、ライフサイクルスクリプトの強化など具体的な改善方法を提示
• CVEだけでなくメンテナンス品質に焦点を当て、エコシステムの劣化を早期警告する仕組みを提供

【まとめ】 依存関係選定時の判断材料として、脆弱性情報に加えて包括的なパッケージ健全性を評価できる公開サービスです。https://intel.aikido.dev/packages で利用可能。