パッケージマネージャーの終焉

- この記事の著者である Michael N. Henry（Nesbitt）は、Rust のパッケージマネージャである **Cargo** のサブコマンド「cargo-deny」のメンテナー。cargo-deny はプロジェクトが依存するクレート（Rust のライブラリ）のライセンスや既知の脆弱性をチェックするツール。 - 2026年6月、Henry は cargo-deny の開発終了（サンセット）を発表した。理由は、**cargo-audit** など同種のツールが Cargo 本体に統合され、cargo-deny の役割が縮小したため。また、メンテナーとしての心理的負荷（バグ報告・セキュリティ対応の継続的プレッシャー）も一因。 - 発表文中で「凍結されたレジストリは、パッケージが二度と修正されえない唯一の場所」という一文が話題を呼んだ。これは、パッケージマネージャに一度公開されたパッケージは事実上不変であり、脆弱性が見つかっても修正版を新バージョンとして出すことしかできず、過去のバージョンは永遠に危険なまま残る——というソフトウェアサプライチェーンの根本的な構造を指す。 - Rust エコシステムでは crates.io に公開されたクレートの上書き削除が基本的に禁止されており、この「不変性の原則」は依存関係の再現性を保証する一方、セキュリティ面での課題として長年議論されてきた。