Что это
npm - две вещи под одним именем. Первая - открытый реестр, где лежат миллионы готовых пакетов: библиотеки, утилиты, целые программы. Вторая - команда в терминале, которая скачивает их на компьютер. Приезжает она вместе с Node.js.
Как это выглядит на практике
Команду npm install -g ты увидишь в инструкциях к Codex, Qwen Code, OpenClaw и другим агентам: так программа ставится на весь компьютер. Внутри проекта npm ведёт файл package.json со списком всего, что проект подключил, и сервер по нему ставит то же самое при сборке. Запуск и сборка сайта тоже часто идут через него: npm run dev, npm run build.
Чем грозит незнание
Публиковать в реестр может кто угодно. Под коротким именем codex там с 2011 года лежит чужой пакет, официальный называется @openai/codex. ИИ иногда придумывает пакеты, которых нет, а злоумышленники регистрируют такие имена под свой код. Прежде чем агент поставит незнакомый пакет, попроси сверить имя с официальной документацией. И не ставь пакеты через sudo: так чужой установочный скрипт получает права на весь компьютер.