Un rilascio lockstep è un modello di rilascio di pacchetti in cui componenti correlati vengono versionati e pubblicati insieme. Invece di aggiornare un pacchetto alla volta, i manutentori distribuiscono versioni corrispondenti su un insieme di pacchetti strettamente accoppiati, in modo che restino compatibili. Questo è comune nelle toolchain e nei monorepo, dove codice condiviso, API o comportamento di build devono cambiare in sincronia.
Nel cyber security, i rilasci lockstep sono importanti perché un percorso di rilascio compromesso può influire su molti pacchetti contemporaneamente. Se un attaccante ruba un token di pubblicazione o abusa di un workflow CI, una versione malevola può essere distribuita sull'intero insieme di rilascio, aumentando la portata e accelerando la propagazione. I difensori dovrebbero trattare la pipeline di pubblicazione come infrastruttura sensibile: limitare i permessi di rilascio, esaminare l'automazione, fissare le azioni del workflow e verificare che le versioni e gli artefatti dei pacchetti corrispondano alle firme o agli hash previsti prima della distribuzione.