Это создает опасность, что репозиторий зависимости будет удален или заражен или взломан или недоступен из определенных мест или засужен\заблокирован. А когда дублируешь в своём проекте - создаешь зеркало. Но вендоринг должен быть правильный и позволять использовать системные зависимости вместо завендоренных, а также менять завендоренные зависимости будь то ручное изменение кода или смена версии. Главное - сломать жёсткую привязку, к хостингам зависимостей, к репозиториям пакетных менеджеров языка, к системе контроля версий - вообще ко всем вещам, которые могут сильно поменяться или сломаться со временем.

Ну и отдельно хотелось бы поругаться на языки с пакетными менеджерами с точки зрения разработки операционных систем, очень трудно прикостыливать языковые и подъязыковые пакетные менеджеры к своему системному