La deriva delle dipendenze è il cambiamento graduale delle librerie, dei pacchetti o dei servizi di terze parti da cui dipende un software. Può verificarsi quando i componenti vengono aggiornati, sostituiti o abbandonati, oppure si comportano in modo diverso tra una versione e l’altra, anche se il codice dell’applicazione non è cambiato.
La deriva è importante perché una modifica a una dipendenza può introdurre vulnerabilità, rimuovere protezioni di sicurezza o alterare il modo in cui un’applicazione gestisce i dati. Gli aggressori possono sfruttare componenti obsoleti o compromessi, mentre i difensori riducono il rischio monitorando le dipendenze, esaminando e testando gli aggiornamenti, bloccando le versioni quando opportuno e verificando regolarmente la presenza di vulnerabilità note. Nei sistemi destinati a restare in uso a lungo, documentare le responsabilità e mantenere un processo di aggiornamento aiuta i team futuri a proteggere le dipendenze.