phantom-deps сканирует зависимости от ИИ на выдуманные пакеты

Разработчик выпустил утилиту phantom-deps, которая проверяет requirements.txt, pyproject.toml, package.json и импорты на пакеты, которых нет в PyPI или npm. Поводом стало исследование USENIX Security 2025: 19,7% из 2,23 млн ссылок на пакеты от 16 LLM указывали на несуществующие пакеты.

• 19,7% ссылок на пакеты от 16 LLM указывали на неопубликованные пакеты
• Утилита помечает PHANTOM (нет в реестре) и NEW (опубликован менее 30 дней назад)
• Работает на стандартной библиотеке Python без зависимостей, кэширует результаты
• Код возврата 1 при находках — подходит для CI и pre-commit