Мужская фамилия склоняется, женская нет.
«Русский орфографический словарь» РАН фиксирует: Баба-яга (сказочный персонаж) и баба-яга (безобразная злая старуха).
Тире стоит верно.
Следует ориентироваться на рекомендацию орфографического словаря: Баба-яга.
В этой поговорке не нужны ни тире, ни дефисы.