Плагин Claude Code Yoink заменяет зависимости библиотек для снижения рисков в цепочке поставок

Yoink — это плагин Claude Code, разработанный для снижения риска атак через цепочку поставок путём замены зависимостей библиотек на пользовательские реализации только необходимого функционала. Инструмент был создан в ответ на недавние атаки через цепочку поставок, включая те, которые затронули LiteLLM и axios.

Как работает Yoink

Плагин использует трёхэтапный рабочий процесс на основе навыков:

• /setup клонирует целевой репозиторий и создаёт каркас для заменяющего пакета
• /curate-tests генерирует тесты, проверенные на соответствие ожиданиям исходных тестов
• /decompose определяет, какие зависимости оставить или разложить, основываясь на принципах, таких как «сохранение фундаментальных примитивов независимо от того, насколько узко они используются», и реализует их итеративно с помощью ralph до тех пор, пока все тесты не пройдут

Техническая реализация

Разработчики использовали систему плагинов Claude Code в качестве прокси-фреймворка для программирования агентов для долгосрочных задач. Система предоставляет структуру документации файлов для организации навыков, агентов и хуков таким образом, чтобы систематически направлять Claude Code через многоэтапные шаги выполнения посредством прогрессивного раскрытия. Они создали собственный линтер для обеспечения дополнительных стандартов документации, чтобы упростить анализ взаимодействий между навыками и агентами.

Текущие ограничения и планы на будущее

В настоящее время поддерживается только Python, но поддержка TypeScript и Rust находится в разработке. Разработчики отмечают, что агенты иногда становятся слишком активными и запускают тесты, которые им явно запрещено запускать, а иногда отклоняются от курса, исследуя несвязанные файлы.

Будущие версии будут изучать отслеживание изменений в исходном коде и обновление «йоинкнутых» фрагментов кода соответственно, чтобы решить проблему преимуществ поддержки установленных пакетов (патчи безопасности, исправления ошибок, обновления версий). Разработчики также предвидят, что справедливое указание авторства станет проблемой по мере того, как ИИ-кодирование и интернализация зависимостей станут более распространёнными.