vlt 1.0とは何か npm互換を掲げる新しいパッケージマネージャ

Node.jsやJavaScriptのパッケージ管理といえば、多くの現場でnpmが標準として使われてきました。そこに新たな選択肢として登場したのが、セキュリティファーストを掲げるパッケージマネージャ vlt です。開発元のvlt technology incは、2026年8月4日に安定版クライアントである vlt 1.0を発表し、同日にホスト型のJavaScriptパッケージレジストリとエコシステムミラーの一般提供も開始しました。ここでの1.0到達は、CLIクライアントが安定版に達したことに加えて、ホスト型のレジストリが本格提供のフェーズに入ったことを意味します。詳細はvlt公式ブログの1.0発表記事で解説されています。

vltの大きな特徴は、npmとの互換性を強く意識した設計にあります。vltはnpmの drop-in replacement、つまりそのまま置き換えられる代替として位置づけられており、既存のpackage.jsonやワークフローを大きく変えずに試せる点を打ち出しています。ホスト型レジストリはnpmレジストリのAPIと後方互換であり、vltのクライアントだけでなくnpm、pnpm、yarn、bun、denoといった主要なクライアントからも利用できます。パッケージのインストールと公開の両方をサポートしているため、消費側と提供側の双方で使える設計です。この動きについては、Publickeyによる日本語の解説記事でも取り上げられています。

もうひとつ注目したいのが、開発チームの顔ぶれです。vltにはnpmの作者であるIsaac Schlueter氏をはじめ、元npmチームのメンバーが参画しています。npmを知り尽くした人々が、あらためてセキュリティとエコシステムの課題に向き合って作っているという点が、このプロダクトの背景を理解するうえで重要です。設計面では、パッケージ同士の関係をグラフ構造として扱う「グラフネイティブ」なアプローチを採用しており、依存関係を柔軟に検索したり絞り込んだりできるようになっています。

セキュリティファースト設計 サプライチェーン攻撃にどう備えるか

vltが最も力を入れているのがセキュリティです。近年、npmエコシステムでは悪意あるパッケージが混入するサプライチェーン攻撃が繰り返し問題になってきました。vltはこうした脅威に対して、レジストリ層とクライアント側の双方で防御を組み込んでいます。公開パッケージへのリクエストはセキュリティ層を通過し、既知のマルウェアや高リスクなソフトウェアはレジストリの段階でブロックされます。

実務でとくに効果が期待できるのが、ライフサイクルスクリプトをデフォルトで実行しない運用です。vltはインストールを二段階に分ける「フェーズド・インストール」を採用しており、vlt installはスクリプトを実行せずにパッケージをダウンロードするだけにとどめ、vlt buildで必要なものだけを選択的に実行します。postinstallなどのスクリプトを悪用して端末やCI環境で不正なコードを走らせる攻撃に対して、この分離は実務的な防御になります。さらに既知のマルウェアはデフォルトでブロックされる、いわゆるsecure-by-defaultの思想で作られています。

依存関係を調べるための道具立ても充実しています。vltは60以上のグラフネイティブな擬似セレクタを備えており、そのうち約30がセキュリティ向けです。マルウェア判定、既知の脆弱性、CVE該当、メンテナンスされていないパッケージ、古くなった依存、ライセンス条件などを名前付きのセレクタで絞り込めるため、依存グラフのなかから危険な箇所を機械的に洗い出せます。脆弱性の判定にはOSVなどの脆弱性データを参照していると説明されています。実績として、vltは27万5000を超えるパッケージバージョンを危険と判定してフラグ付けし、ブロック対象としており、そのうち25%超が現在もnpmの公開レジストリで入手可能な状態だと報告しています。これは削除済みという意味ではなく、危険と判定してフラグを立てた件数である点に注意してください。

公開まわりの安全性にも配慮があります。vltはCIからの公開に向けて、OIDCをベースにした trusted publishing を提供しています。これにより長期有効なトークンを持たずにnpmの公開レジストリへ publish でき、トークン漏洩のリスクを下げられます。GitHub Actionsは標準で対応しており、GitLab CIやCircleCIもOIDCトークンを供給すれば利用できます。

npmミラーレジストリとプライベートレジストリの提供開始

1.0のもうひとつの目玉が、ホスト型レジストリの提供です。vltのレジストリはnpmのミラーとして機能し、既存のnpmエコシステムのパッケージをそのまま取得できます。加えて、組織向けのプライベートレジストリ機能も用意されています。組織スコープのプライベートパッケージを扱え、公開時にはスコープの強制やmanifestの検証が行われ、配信はエッジインフラを通じて提供されます。従来は高価になりがちだったプライベートレジストリを、比較的手軽に導入できる選択肢が増えたことになります。

料金についても段階的な体系が用意されています。vlt公式の料金ページによると、無料のFreeプランは2GBのストレージと配信を含み、プライベートパッケージには対応しません。有料のProプランは年払いで1ユーザーあたり月額8ドルからで、プライベートパッケージに対応します。上位のPremiumは年払いで1ユーザーあたり月額20ドルかつ最小2席、Enterpriseは年払いで1ユーザーあたり月額79ドルかつ最小10席という条件です。Publickeyの記事でも2GBまで無料でそれ以上は有料と要約されており、公式のFreeティアと整合しています。年払いや最小席数といった条件があるため、実際の費用感は組織の規模に合わせて見積もる必要があります。

ここで混同しやすいのが、ホスト型のFreeティアと、セルフホスト版レジストリの位置づけです。vltにはVSRと呼ばれるセルフホスト向けのレジストリ実装がオープンソースとして存在し、こちらは自前で運用できます。ホスト型サービスの無料枠とセルフホストの無料運用は別物であり、両者をまとめて「vltは無料で使える」と単純化しないほうが正確です。自組織でどちらの形態を採るかによって、運用負荷やコストの考え方が変わってきます。

実務での導入検討ポイントと移行時の注意点

ここまでの内容を踏まえて、実際に導入を検討する際の論点を整理します。まず移行のしやすさですが、vltはnpm APIと後方互換で同じようなコマンド体系を持つため、既存のワークフローを大きく変えずに試せます。とはいえ、すべての機能やエッジケースで互換性が保証されるわけではありません。ロングテールの依存関係や特殊なビルド設定を含むプロジェクトでは、自組織での検証が欠かせません。まずは一部のリポジトリで小さく試すのが現実的です。

セキュリティ面では、ライフサイクルスクリプトのデフォルト非実行とレジストリ層でのマルウェアブロックが、postinstallを悪用する攻撃への防御として評価できます。依存関係の増加とともにサプライチェーンのリスク管理が重くなっている現場では、こうした仕組みが日々の運用負荷を下げる助けになるかもしれません。CIからの公開についても、OIDCベースの trusted publishing で長期トークンを排せる点は、トークン漏洩リスクの低減という観点で導入を後押しする材料になります。GitHub Actions以外を使う場合はOIDCトークンの供給が前提になる点だけ押さえておきましょう。

プライベートレジストリやミラーの運用については、すでにVerdaccioやArtifactoryといった社内基盤を持っている組織も多いはずです。vltへ一本化するのか、併用するのか、あるいは特定用途だけ置き換えるのかは、既存資産との兼ね合いで丁寧に評価すべきポイントです。最後に成熟度のリスクにも触れておきます。vltは1.0に達したばかりの新しいプロダクトであり、エコシステム全体の対応状況はこれから広がっていく段階です。本番導入の前には、代表的な依存構成でのPoCを通じて挙動を確かめておくことをおすすめします。

まとめ 一次情報で押さえる vlt 1.0の位置づけ

vlt 1.0は、npm互換という現実的な移行のしやすさと、セキュリティファーストという明確な方向性を両立させようとするパッケージマネージャです。ライフサイクルスクリプトの分離、レジストリ層でのマルウェアブロック、豊富な擬似セレクタ、そしてOIDCベースの公開といった仕組みは、サプライチェーン攻撃が現実的な脅威となっている今の開発現場にとって検討に値する内容です。同時に、ホスト型のミラーレジストリとプライベートレジストリの提供開始によって、パッケージの取得から社内配布までを一貫して扱える基盤が整いつつあります。

一方で、新興プロダクトゆえの成熟度や、料金体系の条件、セルフホストとホスト型の違いなど、慎重に見極めるべき点も残ります。本記事では性能の優劣には踏み込まず、確認できた事実の範囲で位置づけを整理しました。導入を判断する際は、vlt公式の1.0発表記事やPublickeyの解説記事といった一次情報にあたり、自組織の要件と照らし合わせて評価することをおすすめします。npmを知り尽くしたチームが作る新しい選択肢として、まずは小さく試してみる価値のあるプロダクトだといえるでしょう。