Согласен, добавил в чек-лист. Только учтите: pip-audit и trivy ищут версии, которые уже есть в базах (OSV, GHSA). В первые часы, пока заражённый релиз лежал на PyPI, записи ещё не было. Так что они не защищают от установки, зато быстро показывают, где версия успела осесть.
Разбор инцидента LiteLLM 1.107.0: как увели релизный конвейер и почему подпись не помогла