Złośliwy kod z zaufanego źródła. Jak przestępcy wykorzystują npm

Programiści nie tworzą każdej funkcji aplikacji od zera. Pobierają gotowe elementy z npm, publicznego katalogu systemu dla JavaScriptu. 8 lipca 2026 roku ukazał się npm 12.0.0, który domyślnie wstrzymuje skrypty uruchamiane przez instalowane dodatki. Kilka dni później incydenty Jscramblera i AsyncAPI pokazał, iż szkodliwy kod może poczekać do późniejszego uruchomienia programu albo przejść przez prawdziwy, wcześniej zaufany proces publikacji. Wyjaśniamy, co więc naprawdę oznacza informacja, iż paczka pochodzi z adekwatnego źródła.