David

В теории такое возможно, уже были такие случаи, когда пакеты оказывались вредоносными, почитайте: https://securelist.ru/two-more-malicious-python-pa...

Да, это возможно. По тому следует устанавливать библиотеки только от доверенных разработчиков либо перепроверять код (а лучше и то и то).
+ фиксировать версии зависимостей и их хэш-суммы.
+ проверяй что приходит в новой версии.

Могут. Не слишком умные разрабы чего только не пытаются пропихнуть втихушку - от майнеров до политических лозунгов.