오픈소스 공급망 보안, 안전한 오픈소스 사용을 위한 6가지 규칙

안녕하세요,그로메트릭 입니다. 🐸 애플리케이션 하나가 평균 약 180개의 의존성(dependency)을 품고 있는 시대입니다. 개발자가 라이브러리 하나를 추가하는 순간, 패키지 매니저는 수십 개의 전이적 의존성(transitive dependency)까지 함께 가져옵니다. 그중 하나라도 악성 패키지라면 빌드가 시작되기도 전, 설치 단계에서 코드가 실행될 수 있습니다. 도입 이후 새로운 취약점이 공개되면 영향을 받는 애플리케이션을 모두 찾아내고, 적용 가능한 업데이트를 마련해야 합니다. 소나타입 리서치팀이 2026년 2분기 말까지 지난 10년간 기록한 악성 패키지는 180만 개를 넘습니다. 익숙한 레지스트리를 쓴다고 안전이 보장되지는 않는다는 뜻입니다.게다가 이제는 AI 코딩 어시스턴트까지 의존성과 업그..

안녕하세요,그로메트릭 입니다. 🐸GenAI 서비스가 빠르게 확산되면서, 공격 표면도 그만큼 빠르게 넓어지고 있습니다. 배포 이후에야 취약점을 발견하거나 장애를 사후에야 인지하는 구조로는, 지금의 속도를 따라가기 어렵습니다.그로메트릭은 지난 9월 16일 도산 프라이빗에서 진행된 F5의 파트너 교육 과정에서 Web App Scanning, Synthetic Monitoring, F5 Insight, GenAI 서비스 보안을 실습했습니다. 실습 내용과 함께, 각 F5 솔루션을 도입하면 실제로 어떤 보안 효과를 얻는지 정리해보겠습니다.Web App Scanning: 공격자보다 먼저 취약점을 찾는다 🛡️인터넷에 노출된 애플리케이션에 F5 Distributed Cloud Web App Scanning을 구성하..

안녕하세요,그로메트릭 입니다. 🐸 최근 허깅페이스(Hugging Face)가 자사 프로덕션 인프라 일부가 자율 AI 에이전트 기반 공격에 의해 침해당했다고 공개했습니다. 악성 데이터셋이 데이터 처리 파이프라인의 코드 실행 경로 두 곳을 악용해 처리 워커에서 코드를 실행시켰고, 공격자는 이후 노드 단위 접근 권한으로 확대해 자격 증명을 확보한 뒤 내부 클러스터 곳곳으로 이동했습니다. 이는 단순한 "AI 공격" 사례가 아닙니다. 데이터 처리 워크플로우, 인프라, 자격 증명, 클라우드 시스템, 자율 에이전트를 모두 관통하는 소프트웨어 공급망 공격 사례입니다. 모델, 데이터셋, 에이전트 같은 AI 아티팩트가 소프트웨어 개발의 핵심 구성요소로 자리잡으면서, 신뢰와 실행 관계가 눈에 보이지 않거나 통제되지 않을 ..

안녕하세요,그로메트릭 입니다. 🐸급변하는 IT 환경 속에서, 공격자의 기술은 방어자의 대응 속도를 아득히 초월하고 있습니다. 특히 AI 기술이 취약점 분석과 익스플로잇 생성을 가속화하는 'Frontier AI' 시대가 도래하면서, 기존의 수동적인 보안 운영 방식은 거대한 한계에 직면했습니다.이러한 위협에 선제적으로 대응하기 위해, 그로메트릭은 23일 목요일 F5 파트너사 SE 및 세일즈 담당자를 대상으로 진행된 ‘Frontier AI 위협에 대응하는 F5의 보안 전략’ 원격 교육 세션에 참석하여 최전선의 인사이트를 확인하고 돌아왔습니다. 해당 세션 아젠다로는 Frontier AI 시대를 위한 보안원칙, 리스크를 줄이기 위한 실천 원칙, 애플리케이션 및 API 등 AI 서비스 전반의 보안 강화 방안이 심..

안녕하세요,그로메트릭 입니다. 🐸 오픈소스 컴포넌트를 활용해 빠르게 개발하고 배포하는 것은 이제 당연한 일이 되었지만, 그만큼 보안팀이 감당해야 할 취약점의 양도 폭발적으로 늘고 있습니다. 많은 기업이 '가장 위험한 취약점부터 먼저 처리한다'는 우선순위 지정(Vulnerability Prioritization) 전략으로 이 문제에 대응해왔지만, 최근 발생한 일련의 오픈소스 공급망 공격 사례는 이 방식만으로는 더 이상 충분하지 않다는 사실을 보여주고 있습니다. 특히 npm 생태계에서 발생한 Mastra AI 프레임워크 침해 사고는, 악성 코드가 설치 시점에 곧바로 실행될 수 있다는 점에서 '이미 들어온 위협을 정리하는 것'보다 '애초에 위험한 컴포넌트가 들어오지 못하게 막는 것'이 훨씬 중요하다는 교훈..

안녕하세요,그로메트릭 입니다. 🐸저희 그로메트릭은 7월 2일(목) F5가 아이티언과 아이티언 파트너사를 위해 특별히 마련된 F5 파트너 대상 기술교육에 다녀왔습니다. 이번 교육은 F5 AppWorld Seoul 2026에서 소개된 최신 기술과 제품 업데이트를 파트너사와 심도 있게 공유하기 위해 마련된 자리로, F5 본사 솔루션 아키텍트가 직접 API 보안 기술과 솔루션 로드맵을 소개하는 귀중한 시간이었습니다.API 보안, 왜 기존 웹 보안만으로는 부족한가 🔍 ​교육은 'API 보안의 필요성과 기존 웹 보안과의 차별성'을 짚는 것으로 시작되었습니다. API는 이제 단순한 연동 수단이 아니라 기업의 핵심 서비스와 데이터, 지식재산을 직접 노출시키는 새로운 공격 표면입니다. OWASP API Top 10이..

안녕하세요,그로메트릭 입니다. 🐸2026년 6월 24일 수요일, 저희 그로메트릭은 F5의 공식 파트너로서 웨스틴 서울 파르나스 하모니볼룸에서 개최된 'F5 AppWorld 2026 Seoul' 행사에 다녀왔습니다. 전 세계적인 AI 열풍 속에서 애플리케이션 보안과 네트워크 기술이 어떻게 진화하고 있는지 현장의 생생한 인사이트를 전해드립니다.Agentic AI 시대, 새로운 방어선의 구축 ​🚧행사의 포문을 연 오전 기조연설은 F5의 수석부사장(SVP)과 CTO 주도로 진행되었으며, 최근 보안 업계의 핵심 화두인 'Agentic AI 보안 위협'에 대한 선제적 대응 방안이 심도 있게 다뤄졌습니다. 특히 프롬프트에서 토큰까지 이어지는 AI의 작동 원리를 분석하여 새로운 제어 포인트를 마련하는 F5 ADSP..

안녕하세요,그로메트릭 입니다. 🐸 소프트웨어 공급망 보안과 컴플라이언스 전략이 빠르게 진화하고 있습니다. SBOM(소프트웨어 명세서)이 처음 주목받기 시작했을 때, 그 목적은 비교적 단순했습니다. "이 애플리케이션에 어떤 오픈소스 컴포넌트가 포함되어 있는가?"라는 질문에 답하는 것이었죠. 그러나 오늘날의 소프트웨어 생태계는 클라우드 서비스, API, 컨테이너, CI/CD 파이프라인, 그리고 AI/ML 모델까지 훨씬 복잡해졌습니다. SBOM은 이제 단순한 컴플라이언스 체크리스트를 넘어, 공급망 공격 대응, 규제 준수, 벤더 리스크 관리, 그리고 AI 거버넌스의 핵심 도구로 빠르게 자리를 잡아가고 있습니다. 특히 AI 기반 애플리케이션이 확산되면서, AI 모델과 데이터셋의 출처를 추적하는 AI BOM(인공..

안녕하세요,그로메트릭 입니다. 🐸 최근 AI를 활용해 취약점 탐지 및 악용 속도를 극단적으로 앞당기는 '미토스(Mythos) 시대'가 도래하면서, 소프트웨어 공급망의 핵심인 리포지토리(Repository)를 향한 공격이 그 어느 때보다 거세지고 있습니다.단순히 오래된 시스템을 유지하는 것을 넘어, 최근 구버전 Sonatype Nexus Repository에서는 원격 코드 실행(CVSS 9.4) 및 하드코딩된 자격 증명 노출(CVSS 9.2)과 같은 치명적인 취약점들이 연이어 보고되었습니다. 이는 공격자에게 개발 환경의 자격 증명, 빌드 아티팩트, 배포 권한 등 가장 민감한 정보로 향하는 프리패스를 쥐여주는 것과 같습니다.과거의 레거시 아키텍처(OrientDB 등)와 구버전 OSS 인프라에 머물러 있는 ..

안녕하세요.그로메트릭입니다.벌써 2025년 12월이네요. 모두 행복한 연말 보내시기 바랍니다. 지난 10월 15일 그로메트릭의 중요한 파트너 공급사인 F5에서 중대한 발표가 있었습니다.F5에서 발생한 보안 사고를 해결하기 위해 취한 조치와 고객을 보호하기 위한 F5의 후속 노력에 대한 정보를 공유한 것인데요.이에 따라 그로메트릭이 유지보수하고 있는 고객사들의 소프트웨어 업그레이드를 진행하였음을 기쁘게 생각합니다. 주요 내용은 아래와 같습니다.===========================2025년 8월부터 저희는 고도로 정교한 국가 기반 위협 행위자가 특정 F5 시스템에 장기간 지속적으로 접근하여 파일을 다운로드했다는 사실을 알게 되었습니다. 이 시스템에는 저희 BIG-IP 제품 개발 환경과 엔지니어..