ИИ предложил новую библиотеку: не спешите добавлять её в проект

ИИ может уверенно назвать библиотеку, которой не существует, или предложить пакет с именем, похожим на популярный. Установка без проверки превращает подсказку в риск: от вредоносного кода до проблем с лицензией и поддержкой. 🔎 Перед добавлением проверьте, что пакет есть в официальном реестре, а ссылка ведёт на репозиторий нужного автора. Сверьте имя посимвольно, историю версий, дату последнего обновления и документацию. Особая осторожность нужна с пакетами, чьё название отличается от известного одной буквой. 🧪 Затем изучите состав: транзитивные зависимости и скрипты, запускаемые при установке. Проверьте лицензию и совместимость с проектом. Зафиксируйте точную версию в lock-файле, а новую зависимость сначала протестируйте в изолированной среде. Для критичных систем полезно сохранять сведения о происхождении компонентов. Правило простое: код от ИИ — предложение, не доказательство существования и безопасности пакета.