RepoXray identifica pacchetti sospetti e segreti in repository prima di npm install
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Scanner open source che controlla slopsquatting, pacchetti nuovi, advisory OSV e hook postinstall rischiosi, in browser o via CLI minimale senza caricare file su server.
Se un pacchetto oggi su npm restituisce 404, domani un attaccante può registrarlo. RepoXray lo cerca prima che tu lanci npm install o agganci un agente AI al tuo codice1.
RepoXray audita un repository prima dell’installazione. L’autore lo ha pubblicato con gli handle Ra9mirez11 su GitHub e ramirez911 su Dev.to. Il tool controlla i nomi di pacchetti che gli LLM tendono a inventare. Li chiama slopsquatting, una deriva delle allucinazioni dei modelli: nomi plausibili, non esistenti oggi, pronti a diventare esche domani1.
Il controllo verifica in tempo reale l’esistenza del pacchetto nel registry. Se il pacchetto è nato da meno di 21 giorni, lo segnala. Risolve le versioni esatte nel package-lock.json e consulta OSV.dev per advisory pubbliche. Esamina gli script postinstall che eseguono shell o fanno chiamate di rete1.
Lo scanner gira in due modi. In browser, lavora al 100% in RAM. Usa le API File System Access e Drag-and-Drop. Non carica nemmeno un byte su server. In locale, c’è una CLI avviabile con npx rxray . Il pacchetto è un bundle da 19 KB con zero dipendenze a runtime1.
RepoXray cerca anche file che espongono segreti in chiaro. Cita .mcp.json e claude_desktop_config.json, spesso con token memorizzati come testo semplice. Analizza l’uso di npx -y non fissato su una versione, che equivale a esecuzione remota senza pin. Segnala i file .env se restano leggibili per agenti di coding in assenza di un .aiignore1.
Il tool valuta l’impatto sugli agenti. Calcola il bloat del contesto attivo degli LLM, cioè quanto materiale non necessario un agente potrebbe caricare. In base all’analisi, compila un .aiignore su misura. Genera un AGENTS.md con guardrail per l’uso degli agenti di coding. Propone un prompt di remediation per guidare le correzioni nel repository1.
In browser l’utente trascina la cartella nel tab, il codice resta locale. Chi preferisce la riga di comando può usare npx rxray .1
RepoXray è pubblicato su GitHub. L’autore chiede feedback tecnico, in particolare su falsi positivi e regole mancanti1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Rilettura. Un passaggio toglie i tic della prosa generata da un modello, come i contrasti costruiti e le frasi che annunciano invece di informare, senza toccare fatti e fonti.
- Fedeltà alle fonti. Un passaggio dedicato toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,0/10.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.