safe-npm

Quero compartilhar um projeto open source que venho desenvolvendo: safe-npm.

A ideia surgiu de uma preocupação cada vez mais presente no ecossistema JavaScript: você realmente sabe o que está instalando quando executa npm install?

O safe-npm é uma CLI desenvolvida em Rust que analisa pacotes npm antes da instalação, procurando comportamentos potencialmente suspeitos sem executar os scripts do pacote.

A ferramenta analisa:

• metadados do pacote
• código-fonte
• scripts de lifecycle
• árvore de dependências
• padrões de execução de processos
• acessos de rede
• payloads codificados e possíveis técnicas de ofuscação
• correlação entre diferentes comportamentos suspeitos

Além disso, na versão mais recente adicionei validação opcional utilizando IA, que usa o contexto encontrado no código para ajudar a diferenciar um comportamento realmente suspeito de um possível falso positivo.

Tudo isso mantendo o princípio de que a IA é uma camada complementar. A análise principal continua sendo determinística e executada localmente.

Exemplo:

safe-npm scan <pacote>

Com análise por IA:

safe-npm --ai scan <pacote>

O projeto também conta com saída JSON e SARIF, policies configuráveis e integração com pipelines de CI/CD.

O safe-npm ainda está evoluindo e contribuições são muito bem-vindas.

Se você trabalha com Node.js, npm, DevSecOps, Supply Chain Security ou Rust, dá uma olhada no projeto.

GitHub: github.com/mdnbras/safe-npm

Se achar interessante, deixe uma estrela, abra uma issue ou contribua com novas regras de detecção.