Zod 저장소의 4.6.6 관련 커밋에는 외부 RPC 응답을 이용해 주소를 얻고 내려받은 코드를 실행하는 파일과 릴리스 흐름 변경이 포함돼 있다. 이는 의존성 공급망에서 확인해야 할 위험 신호다. 다만 보이는 preinstall 항목은 package.json의 scripts 내부가 아닌 최상위에 있어 정상적인 npm 설치가 곧바로 이를 실행한다고 단정할 수 없다. 확인한 것은 커밋 내용이며 실제 npm 배포물의 동일성이나 이용자 감염까지 입증된 것은 아니다.