AUR-Pakete basieren auf was auch immer die Ersteller der PKGBUILDs als Basis genommen haben.
backslash z.B. benutzt das Git-Repository, chalk nutzt zwar npmjs.org als Quelle, aber eine uralte Version vom Februar (5.4.1 statt 5.6.2), was bisher aber niemanden interessiert hat. Die beiden anderen Pakete kann ich unter diesen Namen nicht im AUR finden (wobei z.B. debug auch ein selten dummer Name ist, und neun Seiten an Ergebnissen Produziert ).
Dennoch haben das AUR (Userscripts für die Erstellung von installierbaren Paketen für Arch Linux) und NPM (Datenbank für das Bereitstellen von Javascript-Modulen im Kontext vom serverseitigem Rendern von Webinhalten durch node.js, was inzwischen aber für alles mögliche zweckentfremdet wird) nichts miteinander zu tun.
Die im Zuge der direkten Malware-Angriffe auf das AUR im Newsartikel seinerzeit nochmals in Erinnerung gerufenen AUR-Sicherheitshinweise gelten unabhängig der Angriffslage gegen andere Software-Repositorys immer 🙂