Uv adiciona varredura nativa contra vulnerabilidades e malware para proteger desenvolvedores

O uv audit não é só mais um scanner: é uma mudança de arquitetura na forma como auditorias de dependências acontecem no ecossistema Python. Diferente do pip-audit, ferramenta externa que analisa requirements.txt ou pip freeze sem acesso direto à resolução de pacotes, o uv audit opera sobre o próprio grafo de dependências já resolvido e travado pelo uv, aproveitando cache nativo, parsing otimizado e respostas pré-processadas do OSV. Isso explica a diferença de 4× a 10× em velocidade: ele não reconstrói o ambiente para escanear, ele escaneia o que já foi calculado.

A verificação de malware via UV_MALWARE_CHECK=1 é ainda mais crítica: ela ataca um gap real apontado pela ENISA e confirmado em casos reais como o GlassWASM, quando um pacote malicioso é retirado do índice (ex.: PyPI), mas permanece acessível diretamente no armazenamento de objetos (S3-like). O uv, por usar referências diretas ao artefato (não só ao nome no índice), poderia instalar esse código mesmo após a quarentena. Agora, ele consulta o OSV *durante* o sync, bloqueando antes da execução, uma defesa em tempo real, não pós-fato.

Entre 2026-06-09 e hoje (2026-07-02), o que mudou não é funcionalidade nova, mas maturação operacional: o modo preview foi mantido, mas o uv audit agora está documentado como padrão para novos projetos em pyproject.toml com suporte nativo a configuração em uv.toml, e o UV_MALWARE_CHECK ganhou integração com a política de 'cooldown' recomendada pela CEVIU em cobertura anterior, ou seja, passou de simples flag para peça de uma estratégia coordenada de mitigação de risco em cadeia de suprimentos.

Desenvolvedores não precisam escolher entre velocidade e segurança. O uv audit entrega ambas, e isso reduz o custo operacional de manter pipelines seguros. Mas o maior impacto está na prevenção de danos irreversíveis: um pacote malicioso como o GlassWASM não rouba apenas credenciais; ele pode injetar backdoors em builds, exfiltrar chaves de CI/CD ou comprometer ambientes de produção via dependência transitiva. A verificação em tempo de sync, não de audit, fecha essa janela de exposição. Para empresas sob LGPD ou Marco Civil, isso deixa de ser boas práticas, vira evidência técnica de due diligence.