与红帽（Red Hat/redhatinsights）相关的 NPM 软件包遭到了供应链攻击，至少有 32 个软件包受到影响。 Hacker News 上的讨论凸显了人们对 NPM 生态系统安全性的持续担忧，尤其是其在安装过程中运行“生命周期脚本”（lifecycle scripts）的默认行为，这允许在用户计算机上执行任意代码。尽管批评人士指出，所有主流软件包管理器（如 PyPI、Cargo 等）都存在类似的供应链风险，但 NPM 因此类事件发生频率较高及其宽松的安全默认设置而频繁受到诟病。 社区成员讨论了各种缓解策略，包括实施“冷却期”（推迟使用新版本的软件包，以便自动化扫描程序有时间检测恶意代码）、使用锁定（pinning）来防止自动更新，以及转向更安全的依赖管理方式。然而，许多参与者指出目前并没有完美的解决方案，安装第三方代码的现有模式本质上仍然具有危险性。一些人认为，对于高安全性环境而言，人工审计或分叉依赖库是唯一真正安全的途径。