npm-черви прячут вредоносные хуки в конфигах ИИ-агентов

В мае и июне 2026 года две волны npm-червей Mini Shai-Hulud и Miasma заражали репозитории через хуки в .claude/settings.json и .vscode/tasks.json. Вредоносный код запускался при открытии проекта в Claude Code, Gemini CLI, VS Code или Cursor, а удаление пакета через npm uninstall не помогало.

• В мае 2026 года червь Mini Shai-Hulud заразил 170+ пакетов на npm и PyPI
• Хук SessionStart в .claude/settings.json запускал скрипт .claude/setup.mjs при старте сессии
• В июне Miasma вывел из строя более 70 репозиториев Microsoft, включая Azure Functions
• npm uninstall не удаляет хуки: они живут в .claude/ вне node_modules