Commit-tee 打造 pkgtruth 掃描開源套件風險
先了解這件事
2026年11月1日08:39，Commit-tee 團隊介紹 pkgtruth，協助開發者調查 Python 套件完整性。工具比對已發布套件與對應原始碼，識別檔案、雜湊值及中繼資料差異，檢查安全指標，再按確定性政策建議允許、審查或封鎖；本地託管的 Qwen 3.5 4B 負責解釋安全發現，比對與安全檢查則由分析引擎負責。08:52 的報道補充，團隊在 12 小時內打造這款工具，用來掃描 GitHub 儲存庫及套件註冊表，並根據維護者變動、休眠套件突然推出新主要版本、混淆程式碼等線索評估可疑程度，生成風險及潛在攻擊途徑報告。另一篇報道稱，團隊的 216 項測試全數通過，但 GitHub CI 曾因已提交的示例報告與重新生成的內容不一致而失敗；更新示例檔案後，下一次檢查通過。pkgtruth 是開源項目，提供網頁介面、CLI，並透過 Ollama 整合本地 Qwen 模型。
AI 根據報道生成 · 2 小時前更新
事件進展
2 個進展
- 11月1日 08:52 · 1 篇報道pkgtruth 的 GitHub CI 因舊報告範例失敗DEV Community：216 項測試全數通過，GitHub 建置仍失敗：首次安全黑客松的經驗
- 11月1日 08:39 · 2 篇報道團隊開發 pkgtruth 套件完整性分析工具DEV Community：我們打造 pkgtruth：檢視信任的程式碼以外的內容
報道時間線
沿着報道，瞭解事件的不同側面。
- DEV Community216 項測試全數通過，GitHub 建置仍失敗：首次安全黑客松的經驗
Commit-tee 團隊在安全黑客松開發 Python 套件安全工具 pkgtruth，雖然 216 項測試通過，GitHub 的 CI 檢查仍因已提交的示例報告與重新生成的內容不一致而失敗。團隊更新示例檔案後，下一次 CI 檢查通過。pkgtruth 是開源項目，提供網頁介面、CLI 和透過 Ollama 整合的本地 Qwen 模型，用於解釋技術分析結果。
- DEV Communitycommit-tee 如何在 12 小時內打造 pkgtruth.，以 AI 掃描開源供應鏈威脅
commit-tee 在 12 小時內打造 AI 工具 pkgtruth.，掃描 GitHub 儲存庫及套件註冊表，偵測可能帶有惡意程式的開源套件。工具會根據維護者變動、休眠套件突然推出新主要版本及混淆程式碼等線索評估可疑程度，並生成解釋風險及潛在攻擊途徑的安全報告。
- DEV Community我們打造 pkgtruth：檢視信任的程式碼以外的內容
Commit-tee 團隊打造 pkgtruth，透過比對已發布的 Python 套件與對應原始碼，協助開發者調查套件完整性。工具會識別檔案、雜湊值及中繼資料差異，並檢查安全指標，再以確定性政策建議允許、審查或封鎖。團隊使用本地託管的 Qwen 3.5 4B 解釋安全發現，分析引擎負責比較與安全檢查。
本事件熱度走勢
還沒有足夠的連續觀測數據，暫不繪製趨勢。