Les LLM inventent régulièrement des noms de paquets npm ou PyPI plausibles. Des chercheurs ont montré que des attaquants peuvent enregistrer ces noms fantômes et y glisser du code malveillant : c'est le « slopsquatting ». Tu fais `pip install` sur la foi de l'IA, et tu installes le cadeau du pirate.

À retenir : Vérifie que la dépendance existe, et qu’elle est célèbre pour de bonnes raisons.