177 тысяч вредоносных пакетов за год — это новая реальность для каждого, кто работает с открытым кодом. Но страшнее другое: злоумышленники научились подделывать цифровые подписи и публиковать трояны под видом официальных обновлений популярных проектов. Пострадали даже SDK от Mistral AI и OpenAI, а червь ворует токены доступа к облачным сервисам прямо из CI/CD-пайплайнов.

Самое опасное — активация происходит автоматически при установке, без запуска кода разработчиком. Хакеры охотятся за вашими учётными данными к AWS, GitHub и внутренним репозиториям. Это не просто «скачал плохую либу» — это атака на всю цепочку разработки. Проверяйте provenance-сертификаты, используйте Snyk или Socket.dev и никогда не доверяйте пакетам только из-за красивых звёзд на GitHub.