Un pacchetto non scoped è un pacchetto npm pubblicato nello spazio dei nomi globale del registro, invece che sotto uno scope di organizzazione o utente come @name/package. Poiché il nome è globale, qualsiasi publisher può registrare un nome di pacchetto convincente se è ancora disponibile, e gli utenti potrebbero installarlo per errore.
Nella sicurezza informatica, i pacchetti non scoped sono importanti perché i loro nomi possono essere usati come superficie di attacco. Gli attori malevoli possono pubblicare dipendenze simili, sfruttare refusi oppure agire su suggerimenti di pacchetti generati dall'IA che suonano plausibili ma sono errati. Questo favorisce attacchi alla supply chain come lo slopsquatting, in cui un nome dall'aspetto affidabile diventa una dipendenza malevola. Le difese includono la preferenza per pacchetti scoped per il software interno, la verifica del publisher e della provenienza del pacchetto, la revisione delle nuove dipendenze e l'uso di lockfile o allowlist per bloccare installazioni inattese.