Когда вы узнаете, что скомпрометированный пакет был выполнен на одном из ваших сборочных хостов, срабатывает мышечная память: отозвать токен npm, сменить GitHub PAT, сменить облачные ключи. Этот рефлекс был правильным почти во всех инцидентах с цепочкой поставок, над которыми я работал. В компрометации keyv/cacheable, которая разворачивается со вчерашнего дня, это единственное, чего не следует делать в первую очередь — потому что отзыв украденного токена — это именно то, что вооружает полезную нагрузку.