Когда волна компрометаций в NPM накрывает экосистему, выясняется неприятное: «знать свои зависимости» недостаточно, если вредонос успевает отработать ещё на этапе установки и сборки. В этом разборе — почему популярные SCA/SBOM-сканеры то молчат, то шумят ложняками на кейсе Shai-Hulud, как решает...