Dependabot è un'automazione di GitHub che monitora le dipendenze di un repository e apre pull request quando sono disponibili versioni più recenti. Non è uno scanner di malware; è un flusso di lavoro di aggiornamento che legge i metadati dei pacchetti, confronta le versioni e propone modifiche per la revisione.
Nella sicurezza informatica, Dependabot è importante perché gli aggiornamenti delle dipendenze rappresentano un rischio comune per la supply chain. Gli aggressori possono pubblicare un pacchetto malevolo, compromettere l'account di un manutentore o sfruttare la breve finestra prima che venga notata una release dannosa. I difensori usano Dependabot per mantenere il software aggiornato, ma spesso aggiungono controlli come regole di revisione, file di lock, verifiche di provenienza e ritardi per i normali incrementi di versione. Queste misure rallentano gli aggiornamenti rischiosi senza bloccare le correzioni di sicurezza urgenti, rendendo la gestione automatizzata delle dipendenze più sicura e prevedibile.