안녕하세요,그로메트릭 입니다. 🐸 요즘 개발팀과 보안팀이 마주하는 소프트웨어 공급망 리스크의 범위가 눈에 띄게 넓어지고 있습니다. 그동안 공급망 보안이라고 하면 오픈소스 패키지, 컨테이너, 서드파티 라이브러리처럼 개발자가 직접 코드에 추가하는 컴포넌트를 관리하는 일이었습니다. 하지만 AI가 소프트웨어 개발의 핵심 요소로 자리 잡으면서, 이제는 파운데이션 모델과 학습 데이터셋, 벡터 데이터베이스, AI 에이전트, 오케스트레이션 프레임워크, 외부 AI 서비스까지 공급망 안으로 빠르게 들어오고 있습니다. 문제는 이 새로운 자산들이 기존 SCA(소프트웨어 구성 분석)나 SBOM 같은 도구만으로는 검증도, 원인 파악도, 대응도 쉽지 않다는 점입니다. 코드 취약점이라면 패키지를 업그레이드하거나 교체해서 해결할 수..

안녕하세요,그로메트릭 입니다. 🐸 최근 7월 뜨거운 감자였던 오픈AI(OpenAI)의 AI 모델이 허깅페이스(Hugging Face)의 인프라를 자율적으로 침투한 사건이 보안 업계를 뒤흔들고 있습니다. 내부 사이버 역량 평가 과정에서 AI 모델이 스스로 제로데이 취약점을 찾아내고, 탈취한 자격 증명과 원격 코드 실행(RCE)까지 연쇄적으로 활용해 실제 공격 경로를 완성해 낸 것입니다. 사람의 개입 없이 AI 에이전트가 처음부터 끝까지 수행한 최초의 사이버 공격 사례로 기록되며, 이는 단순한 해프닝이 아니라 소프트웨어 공급망 보안 전반의 취약점 평가 방식을 근본적으로 뒤흔드는 신호탄입니다. 기존에는 취약점을 하나씩 심각도와 도달 가능성에 따라 개별적으로 평가해 왔지만, 이제는 낮은 심각도로 분류됐던 취약..

안녕하세요,그로메트릭 입니다. 🐸급변하는 IT 환경 속에서, 공격자의 기술은 방어자의 대응 속도를 아득히 초월하고 있습니다. 특히 AI 기술이 취약점 분석과 익스플로잇 생성을 가속화하는 'Frontier AI' 시대가 도래하면서, 기존의 수동적인 보안 운영 방식은 거대한 한계에 직면했습니다.이러한 위협에 선제적으로 대응하기 위해, 그로메트릭은 23일 목요일 F5 파트너사 SE 및 세일즈 담당자를 대상으로 진행된 ‘Frontier AI 위협에 대응하는 F5의 보안 전략’ 원격 교육 세션에 참석하여 최전선의 인사이트를 확인하고 돌아왔습니다. 해당 세션 아젠다로는 Frontier AI 시대를 위한 보안원칙, 리스크를 줄이기 위한 실천 원칙, 애플리케이션 및 API 등 AI 서비스 전반의 보안 강화 방안이 심..

안녕하세요,그로메트릭 입니다. 🐸 Java 진영에서 라이브러리 하나를 내려받는 순간마다 당연하게 여겨온 Maven Central이, 사실은 전 세계 소프트웨어 딜리버리를 떠받치는 '숨은 인프라'라는 사실 알고 계셨나요? 빌드 도구, 스캐너, CI/CD 파이프라인, 의존성 해석, 자동 배포까지, 우리가 매일 실행하는 빌드 명령 뒤에는 Maven Central이라는 공용 인프라가 조용히 자리하고 있습니다. 평소엔 있는지도 잊고 지내다가, 문제가 생기는 순간에야 모두가 그 존재를 실감하게 되는 인프라이기도 합니다. 그런데 최근 소나타입(Sonatype)이 이 인프라의 운영 방식을 근본적으로 재검토하겠다고 예고했습니다. 핵심 문제의식은 '오픈소스 라이선스'와 '커뮤니티 오픈소스'를 같은 것으로 취급해서는 안 ..

안녕하세요,그로메트릭 입니다. 🐸 혹시 우리 팀이 사용하는 npm 패키지 중 하나가 사실은 공격자의 침투 경로였다면 어떨까요? 소나타입(Sonatype) 리서치팀이 발표한 2026년 2분기 오픈소스 악성코드 지수(Open Source Malware Index)에 따르면, 지난 10년간 누적 탐지된 악성 오픈소스 패키지가 180만 건을 돌파했습니다. 이 중 96.6%가 npm 생태계에서 발견됐을 정도로, 개발자들이 가장 많이 의존하는 자바스크립트 패키지 저장소가 공격의 최전선이 되고 있습니다. 이번 분기의 특징은 단순한 악성 패키지 업로드를 넘어, 신뢰받는 패키지와 메인테이너 계정, 의존성 관계 자체가 공격 경로로 악용됐다는 점입니다. Shai-Hulud Miasma 웜, 176개 패키지를 동원한 디펜던..

지난 수요일 한국오픈소스소협회(KOSSA)에서 주최한 '2026 KOSSA DAY'에 다녀왔습니다. '오픈소스인 곁에, 언제나 KOSSA'라는 슬로건 아래 모인 자리였는데요, 오랜만에 오프라인에서 오픈소스 활동을 함께 하는 업계 동료분들과 새로운 파트너분들을 뵙고 즐거운 이야기 나눌 수 있어 정말 반가운 시간이었습니다. 장소는 크래프트라인 사당점이었는데 대관을 해서 오픈소스협회에서 준비하셨더라구요. 준비해 주신 협회 직원분들, 상근 부회장님, 회장님 모두모두 수고 많으셨습니다. 시원한 맥주 한잔과 함께 현업에 계신 분들과 이야기를 나누다 보니 시간 가는 줄 몰랐네요. 특히 요즘 화두인 AI와 오픈소스 그리고 Agent AI가 어떤 방향으로 나아갈지 또 나날이 중요해지는 AI 보안 이슈들에 대해 다양한 ..

안녕하세요,그로메트릭 입니다. 🐸 오픈소스 컴포넌트를 활용해 빠르게 개발하고 배포하는 것은 이제 당연한 일이 되었지만, 그만큼 보안팀이 감당해야 할 취약점의 양도 폭발적으로 늘고 있습니다. 많은 기업이 '가장 위험한 취약점부터 먼저 처리한다'는 우선순위 지정(Vulnerability Prioritization) 전략으로 이 문제에 대응해왔지만, 최근 발생한 일련의 오픈소스 공급망 공격 사례는 이 방식만으로는 더 이상 충분하지 않다는 사실을 보여주고 있습니다. 특히 npm 생태계에서 발생한 Mastra AI 프레임워크 침해 사고는, 악성 코드가 설치 시점에 곧바로 실행될 수 있다는 점에서 '이미 들어온 위협을 정리하는 것'보다 '애초에 위험한 컴포넌트가 들어오지 못하게 막는 것'이 훨씬 중요하다는 교훈..

안녕하세요,그로메트릭 입니다. 🐸저희 그로메트릭은 7월 2일(목) F5가 아이티언과 아이티언 파트너사를 위해 특별히 마련된 F5 파트너 대상 기술교육에 다녀왔습니다. 이번 교육은 F5 AppWorld Seoul 2026에서 소개된 최신 기술과 제품 업데이트를 파트너사와 심도 있게 공유하기 위해 마련된 자리로, F5 본사 솔루션 아키텍트가 직접 API 보안 기술과 솔루션 로드맵을 소개하는 귀중한 시간이었습니다.API 보안, 왜 기존 웹 보안만으로는 부족한가 🔍 ​교육은 'API 보안의 필요성과 기존 웹 보안과의 차별성'을 짚는 것으로 시작되었습니다. API는 이제 단순한 연동 수단이 아니라 기업의 핵심 서비스와 데이터, 지식재산을 직접 노출시키는 새로운 공격 표면입니다. OWASP API Top 10이..

안녕하세요,그로메트릭 입니다. 🐸 npm 생태계를 대상으로 한 공급망 공격이 다시 한번 새로운 국면을 맞이했습니다. 지난 2026년 6월 25일, 보안 연구팀들이 Shai-Hulud Miasma 캠페인의 최신 변종을 포착했습니다. 이번 공격의 핵심은 타이포스쿼팅이나 신규 악성 패키지 배포가 아닙니다. 수년간 개발자들이 신뢰해온 기존 패키지 그 자체를 감염시켰다는 점에서 이전 공격과 본질적으로 다릅니다. 공격자는 Leo Platform 오픈소스 생태계의 패키지 관리자 계정(czirker)을 탈취한 뒤, 정상 패키지의 새 버전에 악성 코드를 심어 배포했습니다. 특히 npm 설치 시 native 애드온 빌드를 위해 사용되는 binding.gyp 파일을 악용해, package.json의 lifecycle 스크..

안녕하세요,그로메트릭 입니다. 🐸2026년 6월 24일 수요일, 저희 그로메트릭은 F5의 공식 파트너로서 웨스틴 서울 파르나스 하모니볼룸에서 개최된 'F5 AppWorld 2026 Seoul' 행사에 다녀왔습니다. 전 세계적인 AI 열풍 속에서 애플리케이션 보안과 네트워크 기술이 어떻게 진화하고 있는지 현장의 생생한 인사이트를 전해드립니다.Agentic AI 시대, 새로운 방어선의 구축 ​🚧행사의 포문을 연 오전 기조연설은 F5의 수석부사장(SVP)과 CTO 주도로 진행되었으며, 최근 보안 업계의 핵심 화두인 'Agentic AI 보안 위협'에 대한 선제적 대응 방안이 심도 있게 다뤄졌습니다. 특히 프롬프트에서 토큰까지 이어지는 AI의 작동 원리를 분석하여 새로운 제어 포인트를 마련하는 F5 ADSP..