Il codice runtime è la parte di un programma che viene eseguita quando il software è effettivamente in uso, non solo quando viene installato. In una libreria o in un pacchetto, questo significa la logica che parte quando un'altra applicazione lo importa, chiama le sue funzioni o elabora i suoi dati. Poiché vive nei normali percorsi di esecuzione, può sembrare innocuo durante l'installazione e causare comunque danni in un secondo momento.
Questo è importante nella sicurezza informatica perché molti difensori si concentrano sui controlli al momento dell'installazione, come gli script di ciclo di vita di npm, ma il comportamento malevolo può essere nascosto nel normale flusso dell'applicazione. In un attacco alla supply chain, un pacchetto può apparire legittimo mentre incorpora logica dannosa all'interno di metodi esportati o di altre funzioni runtime. Ciò rende più difficile la revisione: i metadati e gli hook di installazione possono essere puliti, ma il codice può comunque rubare dati, modificare il comportamento o caricare ulteriori payload quando viene utilizzato. I difensori dovrebbero esaminare ciò che le dipendenze fanno al momento dell'esecuzione, non solo ciò che fanno durante l'installazione.