Astral 分享了其开源工具的安全实践：在 CI/CD 中禁用危险触发器、固定 Action 提交哈希、最小化权限并隔离密钥；组织层面强制强 2FA、保护分支与标签；发布采用可信发布、Sigstore 证明和不可变版本；依赖管理使用 Dependabot、Renovate 并设置冷却期。核心是消除长期凭证、强化发布流程并持续关注依赖风险。

亚历山大·拉多维奇正在组建Rust行业工作组，促进会员公司讨论。项目经理蒂娜·克劳斯推动Rust基金会的培训计划。贝克总结了Rust项目成员对未来三年战略的反馈。基金会还推出了crates.io的可信发布功能。

PEP 807 提出了一个标准机制，使任意 Python 包索引支持“可信发布”。该机制旨在封装 PyPI 的现有实现，允许其他索引以可发现和互操作的方式实现相同方案。可信发布使用短期身份凭证进行安全的凭证交换，已在 PyPI 广泛采用，旨在解决缺乏标准的问题，促进第三方索引的采用，并确保与现有上传客户端的兼容性。

自2025年2月以来，crates.io进行了重要改进，新增了“可信发布”功能，简化了发布流程。每个crate现在都有动态OpenGraph图像，提升了社交媒体分享效果。同时，支持从版本列表直接重建文档，并在README中添加GitHub风格的警告提示。此外，系统内部优化了邮件模板一致性和数据库查询效率。

2024年7月，crates.io更新了多个功能，包括允许用户在特定条件下删除crate、生成OpenAPI描述、添加“报告crate”按钮和邮件通知功能。同时，团队实现了“可信发布”支持和数据库性能提升。希望用户提供反馈。

PyPI推出“可信发布”功能，采用OpenID Connect标准，允许包维护者使用短期身份令牌进行安全发布，增强了发布流程的安全性，并支持GitHub Actions。