L'acquisizione delle dipendenze è il punto in cui un pacchetto viene selezionato e ammesso in un progetto, in un manifest o in un flusso di lavoro di build. È il confine di fiducia per il software di terze parti: una volta accettata una dipendenza, questa può essere introdotta in CI/CD, memorizzata nella cache nei sistemi di build e ereditata dai servizi a valle. I problemi di sicurezza spesso iniziano qui, non durante la compilazione, perché una cattiva scelta in fase di acquisizione diventa parte della supply chain del software.
Questa fase è importante perché gli attaccanti possono abusarne con pacchetti typosquatted, imitazioni malevole o versioni non verificate, e gli strumenti di IA possono accelerare l'errore suggerendo nomi di pacchetti o comandi di installazione copiati senza controllo. I difensori riducono il rischio imponendo liste consentite, registri approvati, controlli di provenienza e firme, cataloghi interni di pacchetti e flussi di approvazione prima che una dipendenza sia consentita nell'ambiente. L'obiettivo è decidere in anticipo quale software sia attendibile, invece di cercare di correggere la fiducia dopo che la build l'ha già consumato.