keyv/cacheable 관련 조사는 npm 패키지 탈취가 직접 의존성 검토만으로는 파악되지 않는다는 점을 보여 준다. 팀은 빌드 증적과 배포 산출물로 실제 노출 범위를 확인해야 한다.