NPM packages используют postinstall для инъекции в AI-ассистенты

Обнаружен npm-пакет "openmatrix", который через postinstall копирует файлы навыков для Claude Code. Эти файлы автоматически загружаются в каждую сессию и могут обходить запросы подтверждения для bash-команд и операций с файлами.

Главный инсайт: Даже полезные пакеты могут содержать скрытые риски. Всегда проверяйте, что делает postinstall, и удаляйте остаточные файлы вручную.

🔗 https://frntnts.ru/posts/2026-04-08-postinstall-hooks-v-npm-skrytye-ugrozy-dlya-ai-coding-assist-1775672613845