esbuild는 주간 다운로드 1억9000만 회에 유지관리자는 1명뿐 — 상위 npm 패키지 25개를 감사했다

제로 설치 방식으로 25개 인기 npm 패키지를 감사한 결과, 여러 고다운로드 라이브러리가 사실상 한 명의 유지보수자에게 의존하는 것으로 나타났다.

esbuild, chalk, axios, sharp, TypeScript, webpack, prettier 등은 주간 수요가 매우 큰데도 유지보수자 집중도가 높아 공급망 위험이 크다.

이번 분석은 한 명의 유지보수자나 계정이 침해될 경우 수백만 명의 하위 의존성 사용자에게 피해가 번질 수 있다고 지적한다.

npm audit 같은 기존 도구는 특히 전이 의존성과 CVE가 없는 구조적 위험을 놓칠 수 있다고 경고한다.