Uma camada barata pra somar ao hook é desligar os scripts de lifecycle por padrão. No npm é ignore-scripts=true no .npmrc do projeto, e o pnpm 10 já não roda postinstall de dependência sem você liberar o pacote na config. Aí o caso mais comum, o postinstall que rouba credencial, nem executa, e o bouncer fica pra pegar o que roda no import.

Fiquei com uma dúvida sobre o que o hook enxerga: se o agente roda um make setup ou um ./scripts/install.sh que chama o npm por dentro, o PreToolUse só vê o comando de fora. Vocês tratam esse caso de algum jeito, tipo comparar o lockfile antes e depois?