Un processo di compilazione della documentazione è il flusso di lavoro che un registro di pacchetti o un progetto usa per generare manuali, riferimenti API e pagine del sito a partire dal contenuto del pacchetto. Può analizzare file README, modelli, esempi o asset incorporati e, in alcuni ecosistemi, può richiamare script, plugin o convertitori durante la compilazione della documentazione. Questo rende il processo più di una semplice formattazione: è una fase vicina al codice che può interagire con input non attendibili.
Questo è importante perché gli aggressori possono abusare della generazione della documentazione per provocare esecuzione di codice remoto, esporre segreti o alterare l'output pubblicato. Un pacchetto malevolo può nascondere payload nei file di compilazione, nel markup o nei metadati in modo che vengano eseguiti prima che qualcuno installi il pacchetto. I difensori dovrebbero trattare le compilazioni della documentazione come carichi di lavoro non attendibili: isolarle in una sandbox, rimuovere l'accesso alla rete, limitare i segreti, fissare le dipendenze e rivedere gli artefatti generati prima della pubblicazione. Negli attacchi alla supply chain, il percorso della documentazione è spesso attraente perché si colloca all'interno di un'automazione considerata affidabile.