all #npm

npm installは博打まじりの祈りになった

Mastraのnpmパッケージ改ざんを見て、開発環境の怖さを改めて考えた。postinstallで任意コードが走り、AI APIキーやAWS/GCP権限が抜かれれば、請求も信用も燃える。AIエージェント時代のnpm installは、祈りだけでなく博打の気配もある。