Dat het mogelijk om onderzoek gaat blijkt uit een boodschap die de packages bevatten: "the purpose is to make everyone pay attention to software supply chain attacks, because the risks are too great." Die boodschap zelf geeft aan dat het niet om een onderzoek gaat maar om een actie om het risico van supply chain attacks onder de aandacht te brengen. Soms zeggen mensen die iets doen zelf heel duidelijk waarom ze het doen, en moet je er niet iets anders van maken. PyPI is, zoals de I in de naam zegt, een index, een plek waar iedereen die een Python-pakket maakt kan zeggen: "kijk, hier is wat ik heb gemaakt," en waar ieder ander het dan kan vinden. Er is geen team van kwaliteitscontroleurs dat alle geüploade pakketten doorlicht op dingen die je niet wilt, je gebruikt wat er staat op eigen risico. Ik zou heel blij zijn met een PyPI met alleen betrouwbare inhoud, maar ik snap ook dat dat een serieuze hoeveelheid werk zou vergen en dat die nou eenmaal niet wordt geleverd door degenen die PyPI bijhouden. Als je ...