vltがnpmツール群全体で動作するホステッドレジストリを備えた1.0をリリース

Why it matters

Clarke is using npm compatibility to lower switching costs while moving vlt from open-source tooling into paid infrastructure. The bet is that heavier CI and coding-agent use will make registry speed and package screening worth paying for. ([vlt.io](https://www.vlt.io/blog/1-0?ref=runtimewire))

Darcy Clarke (@darcy), vltの創業者兼CEOであるDarcy Clarkeは、安定版のvlt 1.0パッケージマネージャーを公開し、同社のホスト型JavaScriptレジストリを8月4日の発表で一般提供にしました。このリリースによりvltは完全な商用製品を手に入れました：開発者のマシン上でのnpmの代替となるクライアントと、npm、pnpm、Yarn、Bun、Denoの背後に置けるプライベートレジストリやミラーです。 (vlt.io)

Clarkeは、自身が再構築しようとしているツール群の内部でキャリアの多くを過ごしてきました。彼は以前、GitHubが2020年にnpmを買収した後にGitHubのnpm CLIおよびGitHub CLIのエンジニアリングチームを率いていました。Clarkeが2024年3月にvltの創業チームを紹介した際、彼はJavaScriptのパッケージングを停滞した重要なインフラストラクチャだと述べていました。 (vlt.io)

彼は現行のスタックを運用した直接的な経験を持つメンバーを集めました。Isaac Z. Schlueter (@izs)はnpmを作成し、npm Inc.を運営し、以前はNode.jsを率いていました。Ruy Adorno (@ruyadorno)は現在もvltのスタッフソフトウェアエンジニアであり、GitHubでnpm CLIに携わった後にGoogleに参加していました。この陣容を根拠に、JavaScriptパッケージングの破綻点を知る人々がクライアントとその背後にあるインフラの両方を作っている、という訴求が成り立っています。 (vlt.io)

依存関係グラフを中心に構築されたパッケージマネージャー

1.0リリースにより、vlt clientは長期のリリース候補サイクルから脱し、vltが「安定したフル機能のパッケージマネージャー」と呼ぶ段階に入りました。これはインストール、スクリプト実行、更新、公開、非推奨化などの通常のパッケージライフサイクルをnpmにフォールバックすることなく扱います。 (vlt.io)

Clarkeと彼のエンジニアは、プロジェクトのパッケージ一覧をフラットなマニフェストとして扱うのではなく、依存関係グラフを中心にクライアントを構築しました。開発者は約60を超えるグラフセレクタで依存関係を問い合わせることができ、そのうち約30はvltがセキュリティ志向だと述べるセレクタです。これらのセレクタは、マルウェア報告、CVE、メンテナンスされていない依存関係、インストールスクリプト、ライセンス条件、特定のレジストリに関連するパッケージを見つけ出すことができます。ホストレベルのセレクタは、マシン上のすべてのローカルプロジェクトに対して依存関係を検索することも可能です。 (vlt.io)

そのグラフモデルはインストール動作も制御します。段階的インストールは、パッケージのダウンロードとライフサイクルスクリプトの実行を分離します。vlt installはパッケージ提供のコードを実行せずにnode_modulesを配置でき、vlt buildはその後にどのスクリプトを実行するかを開発者が選択できるようにします。vltはそのプロセス中に既知のマルウェアをデフォルトでブロックすると述べています。 (vlt)

この分離は、JavaScriptパッケージ管理における繰り返し発生する弱点に対処します。すなわち、インストール時にサードパーティのスクリプトが、開発者が実行内容をレビューする前に開発者マシンやCIランナーへのアクセスを得てしまうことがしばしばある点です。vltのアプローチはスクリプト実行を明確な決定事項にしつつ、従来のnpmの動作を必要とするチームのためのオプションも保持します。 (vlt)

vlt 1.0は依存カタログ、グラフベースのオーバーライドおよびOIDC 信頼済み公開もサポートします。後者により、CIシステムは長期トークンをレジストリに保存することなく公開でき、GitHub Actionsの組み込みサポートと、GitLab CIおよびCircleCI向けの設定可能なサポートを提供します。 (vlt.io)

レジストリはオープンソースのツールをビジネスに変える

ホスト型レジストリは、今回のリリースでvltにとって重要な部分です。Clarkeはパッケージマネージャーとサーバーレスレジストリを2024年11月5日のローンチで最初に発表しました。一般提供によりvltは、開発者、CIシステム、コーディングエージェントが生成するパッケージトラフィックを取り込める有料サービスを得ました。 (vlt.io)

互換性は販売戦略の中心です。チームは既存のnpm、pnpm、Yarn、Bun、Denoのクライアントを一斉に置き換える代わりに、vltのレジストリエンドポイントを指すよう設定できます。vltは組織スコープのプライベートパッケージをホストしたり、上流の公開依存関係をミラーしたり、パッケージ公開前にマニフェストを検証することができます。 (vlt.io)

価格ページは、2GBのストレージと配信を含む無料プランから始まります。年払いプランでは、Proがユーザーあたり月額換算$8、Premiumが$20、Enterpriseが$79で、各ティアでより大きなストレージ割当とサポート機能が提供されます。このモデルは、無料クライアントの採用から定期的なレジストリ収益への直接的な道筋をClarkeに与えます。 (vlt.io)

ClarkeはタイミングをAI駆動の開発に結びつけています。エージェントが短命の環境を作成し、依存関係を繰り返しインストールする状況では「エージェント規模になるとレジストリがボトルネックになる」と彼はローンチ発表で書いています。vltはパッケージを開発者やCIに近いエッジインフラから配信すると述べており、自社のクリーンインストールベンチマークではnpmより最大38%高速に動作したと主張しています。この数値はvltのテストに基づくもので、独立した監査はされていません。 (vlt.io)

セキュリティに関する主張も同様に積極的です。vltは公開マルウェアフィードやOSVのようなアドバイザリデータベースを取り込み、既知の悪質なパッケージをブロックしつつインデックス化していると述べています。8月4日時点で、vltは275,000を超えるパッケージバージョンをフラグ付けしたと主張しており、そのうち25%以上のバージョンが依然としてnpmの公開レジストリからダウンロード可能であるとしています。これらの分類と割合は同社の報告によるものです。 (vlt.io)

パッケージスクリーニングは恒久的な防御ではなく対立的な問題のままです。2026年1月26日、セキュリティ企業Koiはvltとともにnpm、pnpm、Bunに影響を与えるPackageGate脆弱性を報告しました。報告では、それらの欠陥がパッケージマネージャーのセキュリティ保護を潜り抜ける可能性があるとされていました。この出来事は、クライアントとレジストリの両方が迅速に変更できる価値を強調すると同時に、どのパッケージマネージャーもサプライチェーン攻撃に免疫があるとは言えない理由を示しています。 (Koi)

創業者たちがかつて運用したインフラの再構築

vltは2024年3月20日にベンチャー資金調達を発表しました。Accelが資金調達をリードし、Inovia CapitalとAbstraction Capitalが参加しました。出資者にはVercelのCEO Guillermo Rauch、SocketのCEO Feross Aboukhadijeh、SentryのCEO David Cramer、Vue.jsの作成者Evan Youも含まれます。vltはラウンドの規模や評価額を公表していません。 (vlt.io)

1.0の節目は、Clarkeの仮説に対する商業的な試験の開始を意味します。互換性により、開発者は慣れ親しんだクライアントを維持しつつ、まずレジストリエンドポイントを変更するという低コストでvltを試すことができます。両方のレイヤーを所有することで、vltは依存関係がどのように解決され、検査され、ダウンロードされ、実行されるかを制御できます。

しかし同じ範囲が負担も増やします。開発者は認証情報、プライベートパッケージ、そしてあらゆるビルドの重要な部分をvltに信頼して預けなければなりません。Clarkeの強みは、すでに広く使われているJavaScriptパッケージインフラを設計・運用してきた創業メンバーにあります。安定したクライアントとホスト型レジストリが一緒に利用可能になったことで、vltはその経験がパッケージトラフィックを自らが管理するインフラへ移行させるに足るかを試すことができるようになりました。