Verifique em node_modules vs. shrinkwrap
A verificação em node_module era o padrão da comunidade, mas agora também temos uma opção para usar o shrinkwrap. Este último faz mais sentido para mim, mas há sempre a chance de alguém ter "forçado a publicar" e introduzido um bug. Existem alguns inconvenientes adicionais?