Un avviso di malware è un record di sicurezza che etichetta un pacchetto software come malevolo, non solo vulnerabile. A differenza di un avviso in stile CVE, non implica l'esistenza di un difetto correggibile nel codice; significa che il pacchetto stesso deve essere considerato non sicuro e rimosso dall'albero delle dipendenze. Nella sicurezza della supply chain, questa distinzione conta perché la risposta corretta è la sostituzione o l'eliminazione, non l'aggiornamento di versione.
Gli avvisi di malware compaiono nei registri dei pacchetti e negli strumenti di gestione delle dipendenze quando l'intelligence sulle minacce identifica pacchetti dannosi tramite segnali come typosquatting, dependency confusion, account di maintainer compromessi o pubblicazione abusiva. I difensori usano questi avvisi per bloccare le installazioni, avvisare i maintainer e interrompere le build prima che il codice malevolo raggiunga la produzione. Sono particolarmente utili in ecosistemi ampi, dove pacchetti dall'aspetto affidabile possono entrare nei progetti attraverso la risoluzione automatica delle dipendenze.