Cuando dependencias de terceros se combinan con dependencias desarrolladas internamente se establece un escenario “potencialmente confuso” para los sistemas en cuanto a qué dependencia usar. Si un software no puede validar el origen de los paquetes que utiliza, puede ser fácilmente víctima de un ataque de confusión de dependencias, donde se puede engañar a las aplicaciones para que ejecuten dependencias externas malintencionadas en lugar de las internas que desea.