Una variazione di dipendenza è qualsiasi aggiornamento di un componente software su cui si basa un altro sistema, come una libreria, un modello, un'API, un pacchetto o un servizio. Anche quando l'interfaccia resta la stessa, la nuova versione può modificare il comportamento, la qualità dell'output, le prestazioni, le autorizzazioni o le modalità di guasto. Nel lavoro di sicurezza, questo è importante perché i flussi di lavoro a valle spesso presumono che la dipendenza sia stabile.
Gli aggressori possono abusare delle variazioni di dipendenza inserendo aggiornamenti malevoli nelle pipeline di build, nei registri dei pacchetti o nei servizi dei fornitori. I difensori le considerano un punto di rischio: bloccano le versioni, esaminano le note di rilascio, testano gli output e monitorano comportamenti inattesi dopo gli aggiornamenti. Nei sistemi di IA, un aggiornamento del modello può alterare il testo generato, quindi il codice, il triage e l'automazione delle policy possono richiedere una nuova validazione prima che la fiducia venga ripristinata.