概要
npmの生みの親であるIsaac Schlueter氏や、npm CLIチームの元メンバーDarcy Clarke氏、Ruy Adorno氏らが2024年に立ち上げたセキュリティ重視の次世代JavaScriptパッケージマネージャ「vlt」が、2026年8月4日にバージョン1.0へ到達した。同時にnpmミラーレジストリとプライベートレジストリをホスティングするサービスも一般提供を開始し、vltは単体のCLIツールから「end-to-end platform」へと拡張した。開発チームは「agents are the future of software development」と述べ、AIエージェントによる開発が主流となる時代に適した、高速かつ信頼性の高いパッケージ管理基盤の必要性を強調している。
技術的な特徴
vlt CLIはinit、install、build、run、publishといった標準的な操作でnpm・pnpm・yarn・bun・denoなど既存ツールとの互換性を保ちつつ、依存関係グラフを直接検索できる60種類以上の「pseudo selector」を新たに搭載した。このうち約30種類はセキュリティ用途に特化しており、マルウェア混入の疑い、既知の脆弱性、ライセンス条件、メンテナンス状況といった観点で依存パッケージを絞り込める。また:host(local)機能を使えば、ローカルマシン上の複数プロジェクトを横断して依存関係を一括照会できるほか、インストール時にはスクリプト実行前のダウンロードと選別的なスクリプト実行を分離することで、悪意あるインストールスクリプトによるサプライチェーン攻撃のリスクを抑える設計になっている。
ホスト型レジストリサービス
新たに一般提供が始まったホスト型レジストリは、npmレジストリAPIとの後方互換性を保ちながら、エッジインフラを活用した配信によりクリーンインストールがnpm比で最大38%高速になるとしている。これはAIコーディングエージェントが使い捨てのサンドボックス環境を頻繁に立ち上げるようなワークロードを念頭に置いた最適化とみられる。料金面では「generous free tier」を用意して新規ユーザーの導入障壁を下げつつ、スコープ付きの非公開パッケージを無制限に利用できる点も特徴だ。セキュリティ面では、パッケージのマニフェスト検証による形式チェックに加え、OSVなど公開脆弱性データベースの情報を取り込んで既知の悪質なパッケージを事前にブロックする仕組みを備える。vltはこれまでに27万5000件以上のパッケージバージョンを調査し、そのうち25%超が依然として公開状態にある危険なパッケージであることを確認したとしている。
背景と今後の展望
vltはOpenJS Foundationにシルバーメンバーとして参加するなど、JavaScriptエコシステム全体との連携も進めてきた。npmの生みの親自らが、サプライチェーン攻撃の多発やAI駆動開発への移行という業界の変化を踏まえて新たなパッケージ管理基盤を構築している点は、開発者コミュニティから注目を集めている。今回の1.0リリースとホスト型レジストリの一般提供により、vltはnpmの単なる代替ツールから、セキュリティとパフォーマンスを軸にした包括的な開発者向けエコシステムへの転換を本格化させる段階に入ったといえる。