안녕하세요,그로메트릭 입니다. 🐸 AI 덕분에 아이디어에서 풀 리퀘스트(PR)까지 걸리는 시간은 분 단위로 줄었습니다. 그런데 소프트웨어를 배포하는 일까지 쉬워졌다고 할 수 있을까요? 코드는 빨리 도착했지만, 실패한 빌드와 의존성 충돌, 뒤늦게 발견된 이슈, 가치 없는 업그레이드 때문에 릴리스는 늦어질 수 있습니다. 코드 생성량은 도구가 만들어 낸 활동량일 뿐, 사용자에게 전달된 프로덕션 수준의 소프트웨어가 얼마나 되는지, 그 과정에서 계획에 없던 작업이 얼마나 생겼는지는 보여주지 않습니다. 의존성 문제가 빌드나 릴리스까지 번지면 구성요소의 사용 위치 파악, 교체, 자격 증명 노출 가능성 평가로 작업이 이어집니다. 결국 핵심은 AI가 만든 속도 이점이 PR에서 프로덕션까지 얼마나 살아남느냐입니다. 소나..

안녕하세요,그로메트릭 입니다. 🐸 npm, PyPI 등 오픈소스 패키지를 내려받아 빌드하는 개발팀이라면 이번 3분기 데이터는 가볍게 넘겨서는 안 될 내용입니다.소나타입(Sonatype)은 2026년 3분기에 149,329건의 악성 오픈소스 패키지를 식별했습니다.2017년 추적을 시작한 이후 누적 건수는 1,960,846건으로 200만 건에 근접했습니다.이 중 npm이 133,579건으로 전체의 89.5%를 차지했습니다.그러나 이번 분기의 핵심은 물량이 아닙니다. 악성 행위가 명확히 확인된 패키지 27,618건 가운데 약 4분의 3이 추가 페이로드 배포 또는 시크릿 탈취를 수행했다는 점이 더 중요합니다.하나의 패키지 침해가 자격 증명 유출, 추가 악성코드 설치, 신뢰된 계정 탈취로 이어지면 공급망 보안 ..

안녕하세요,그로메트릭 입니다. 🐸지난 4월, 그로메트릭이 자체 기획·개발 중인 SaaS형 보안 정보 및 이벤트 관리 솔루션 'GroSaaS SIEM'이 중소벤처기업부 주관 디딤돌 R&D 지원 사업에 최종 선정되었다는 기쁜 소식을 전해드린 바 있습니다.저희는 앞으로 18개월 동안 GroSaaS를 단순한 로그 수집 도구가 아닌, ML 기반 지능형 위협 탐지, SOAR 연계 자동화 대응, m OpenSearch 기반의 전방위 가시성을 모두 갖춘 '클라우드 네이티브 지능형 보안 플랫폼'으로 고도화하는 대장정에 돌입합니다.이 거대한 과제를 수행하며 저희는 완성된 결과물만 보여드리기보다는, 그 이면의 치열한 고민과 기술적 난관을 돌파해 나가는 생생한 과정을 투명하게 나누고자 합니다.클라우드 보안의 새로운 표준을 ..

안녕하세요,그로메트릭 입니다. 🐸 npm install 한 줄이면 끝나는 패키지 설치가, 개발자의 열쇠 꾸러미를 통째로 넘기는 순간이 될 수 있습니다. 개발 환경에 저장된 자격증명이 노출되면 소스 코드 저장소와 빌드·배포 인프라 운영 전반으로 위험이 번질 수 있다는 점에서, 이는 개발자 한 사람의 문제로 끝나지 않습니다. 소나타입 리서치팀이 분석한 TensorLake TypeScript SDK의 악성 릴리스(tensorlake@0.5.144)는 설치 시점에 preinstall 훅으로 난독화된 JavaScript 페이로드를 실행했고, GitHub 토큰과 HashiCorp Vault 자격증명은 물론 Claude, Cursor, Kiro, Codex, Gemini, Windsurf 등 AI 개발 도구의 설..

안녕하세요,그로메트릭 입니다. 🐸 2026년 10월 7일 수요일 오후, 강남 테헤란로 한국과학기술회관 국제회의실에서 열린 ‘제28기 프라이머 데모데이(Primer Demo Day)’에 다녀왔습니다.프라이머는 연 2회 배치 프로그램을 통해 초기 팀을 발굴·육성하는 국내 대표 극초기 액셀러레이터입니다. 이번 데모데이는 약 1,000여 명에 달하는 창업자, 투자자, 업계 관계자들이 객석을 가득 메워 초기 스타트업 창업자들의 뜨거운 열기를 체감할 수 있었습니다. 극초기 9개 팀의 날카로운 시장 검증 피칭 📌이번 데모데이에는 프라이머의 밀착 멘토링을 거친 총 9개 초기 스타트업이 무대에 올랐습니다.무대를 보며 가장 인상 깊었던 점은 당연하겠지만, 기술 트렌드를 따르는 데 그치지 않고 ‘명확한 고객의 페인 포인..

안녕하세요,그로메트릭 입니다. 🐸 애플리케이션 하나가 평균 약 180개의 의존성(dependency)을 품고 있는 시대입니다. 개발자가 라이브러리 하나를 추가하는 순간, 패키지 매니저는 수십 개의 전이적 의존성(transitive dependency)까지 함께 가져옵니다. 그중 하나라도 악성 패키지라면 빌드가 시작되기도 전, 설치 단계에서 코드가 실행될 수 있습니다. 도입 이후 새로운 취약점이 공개되면 영향을 받는 애플리케이션을 모두 찾아내고, 적용 가능한 업데이트를 마련해야 합니다. 소나타입 리서치팀이 2026년 2분기 말까지 지난 10년간 기록한 악성 패키지는 180만 개를 넘습니다. 익숙한 레지스트리를 쓴다고 안전이 보장되지는 않는다는 뜻입니다.게다가 이제는 AI 코딩 어시스턴트까지 의존성과 업그..

안녕하세요,그로메트릭 입니다. 🐸 AI 코딩 어시스턴트와 에이전트가 며칠 걸리던 구현 작업을 몇 시간으로 줄여주고 있습니다. 하지만 코드를 '쓰는' 시간이 줄었다고 해서 소프트웨어를 '출시하는' 속도까지 빨라지는 것은 아닙니다. 생성된 코드는 여전히 계획, 리뷰, 테스트, 보안 검증, 배포, 유지보수 단계를 거쳐야 하기 때문입니다. 생성된 코드의 양이 곧 생산성을 의미하지 않는 이유입니다.오히려 병목은 구현에서 검증으로 이동하고 있습니다. 리뷰와 승인이 변경 1건마다 같은 수작업을 요구한다면 풀 리퀘스트는 쌓이고, AI로 얻은 생산성은 다운스트림에서 사라집니다. 특히 AI는 프롬프트 한 번으로 웹 프레임워크, 데이터베이스 클라이언트, 로깅 유틸리티 등 수십 개의 컴포넌트와 그에 딸린 전이(transit..

안녕하세요,그로메트릭 입니다. 🐸 오픈소스 패키지를 설치하는 개발팀과 CI/CD 파이프라인을 운영하는 조직이라면 눈여겨봐야 할 분석입니다.소나타입(Sonatype)이 공식 블로그에서 악성 오픈소스 패키지가 왜 유독 CI/CD 자격증명을 노리는지 짚었습니다.자격증명 하나만 손에 넣어도 소스 코드, 빌드 시스템, 패키지 레지스트리, 클라우드 인프라, 운영 배포 환경까지 닿을 수 있기 때문입니다. 2025년 소나타입이 분석한 악성 패키지 가운데 53%는 설치 단계에서 개발 환경을 노리도록 만들어져 있었습니다.의존성 하나를 설치했을 뿐인데 악성 릴리스 배포와 빌드 오염으로 번질 수 있다는 점에서, 공급망 보안 관점의 실질적인 비즈니스 리스크로 이어질 수 있는 사안입니다. *아래 글은 소나타입(Sonatype)..

안녕하세요,그로메트릭 입니다. 🐸GenAI 서비스가 빠르게 확산되면서, 공격 표면도 그만큼 빠르게 넓어지고 있습니다. 배포 이후에야 취약점을 발견하거나 장애를 사후에야 인지하는 구조로는, 지금의 속도를 따라가기 어렵습니다.그로메트릭은 지난 9월 16일 도산 프라이빗에서 진행된 F5의 파트너 교육 과정에서 Web App Scanning, Synthetic Monitoring, F5 Insight, GenAI 서비스 보안을 실습했습니다. 실습 내용과 함께, 각 F5 솔루션을 도입하면 실제로 어떤 보안 효과를 얻는지 정리해보겠습니다.Web App Scanning: 공격자보다 먼저 취약점을 찾는다 🛡️인터넷에 노출된 애플리케이션에 F5 Distributed Cloud Web App Scanning을 구성하..

안녕하세요, 지속적인 성장을 추구하는 그로메트릭 김관영입니다. 아침저녁 선선한 가을바람과 함께 풍성한 명절, 추석이 다가왔습니다.어느덧 문래 오피스로 옮긴 지도 2달이 되어 갑니다. 고객 여러분의 믿음과 협력사 분들의 도움 덕분에 의미 있는 성장과 도전의 발자국을 남기고 있습니다. 함께 치열하게 고민하고 한발 내딛으며 목표를 향해 나아갈 수 있는 이 모든 순간을 진심으로 감사하고 있습니다.곡식이 알차게 여무는 결실의 계절처럼, 여러분께서 올 한 해 정성으로 일구어 오신 모든 일들도 풍성한 결실로 이어지기를 진심으로 기원합니다. 명절 연휴 동안에는 일상의 분주함을 잠시 내려놓고, 그 무엇보다 소중한 가족·친지들과 함께 따뜻한 온기를 나누는 행복한 시간 보내시길 바랍니다.그로메트릭 역시 재충전의 시간을 가진..