La verifica delle dipendenze è il processo di revisione di pacchetti, librerie e dipendenze transitive di terze parti per individuare vulnerabilità note, versioni non sicure, problemi di licenza o integrità e segnali di compromissione della supply chain. È una parte fondamentale dello sviluppo software sicuro perché le applicazioni moderne spesso si basano su decine o centinaia di componenti esterni.
Nella pratica, gli attaccanti sfruttano dipendenze obsolete o manomesse per colpire molti utenti contemporaneamente. Un pacchetto vulnerabile può introdurre esecuzione remota di codice, segreti esposti o comportamenti di aggiornamento malevoli in un codice altrimenti ben scritto. I team difensivi utilizzano software composition analysis, lockfile, controlli sulla reputazione dei pacchetti e gate di policy automatizzati per intercettare importazioni rischiose prima del rilascio. La verifica delle dipendenze è particolarmente importante quando la programmazione assistita dall'AI produce codice rapidamente, perché la generazione veloce può includere librerie senza un attento esame. Se eseguita bene, aiuta i team a dimostrare cosa hanno distribuito e a ridurre il rischio della supply chain prima che si trasformi in un incidente.