안녕하세요,그로메트릭 입니다. 🐸지난 8월 26일 수요일 저녁 6시, 정들었던 강남을 떠나 영등포 문래동으로 이사 온 것을 기념해 저희 첫 오픈오피스 행사를 열었습니다.한 주 마무리로 다들 바쁘셨을 텐데, 소중한 시간 쪼개 먼 걸음 해주신 모든 분들께 진심으로 감사드립니다. 처음 준비해본 행사라 곳곳이 서툴고 부족한 점도 많았을 텐데, 그럼에도 따뜻하게 축하해주셔서 정말 감사했습니다.이날 다 함께 피자랑 문래동 명물 양키통닭도 나눠 먹었는데, 다들 맛있게 드셔주시는 모습에 저희도 덩달아 배불리 뿌듯했답니다 🍕🍗 (시금치 통닭 메뉴 강력 추천입니다!)문래동에서 처음 맞이한 손님들이라 유독 더 특별한 시간이었습니다.미처 참석하지는 못하셨지만 응원해주신 모든 분들께도 다시 한번 감사 인사 드립니다! 이사..

안녕하세요,그로메트릭 입니다. 🐸 최근 npm 생태계에서 또 하나의 심상치 않은 공급망 공격이 포착됐습니다. 소나타입 리서치랩이 발견한 이번 사건은 npm 패키지 6종이 동일한 악성 페이로드를 유포한 사례로, sonatype-2026-005899, sonatype-2026-005901로 각각 추적되고 있습니다. 그중 3개는 원래 신뢰받던 정상 패키지가 하이재킹된 것이고, 나머지 3개는 처음부터 악성 코드를 품고 게시된 신규 패키지입니다. 더 눈길을 끄는 건 공격 방식입니다. 이 악성코드는 놀랍게도 이더리움 블록체인 트랜잭션을 명령제어(C2) 서버 주소를 찾는 용도로 활용합니다. 특정 지갑 주소의 최근 송금 내역을 조회해 수신자 주소를 IP로 디코딩하는 방식인데, 이는 북한(DPRK) 배후로 알려진 ..

안녕하세요,그로메트릭 입니다. 🐸 지난주 미국 라스베이거스에서 열린 블랙햇(Black Hat) 2026이 전 세계 보안 담당자들의 이목을 집중시켰습니다. 블랙햇은 1997년 제프 모스(Jeff Moss)가 창설한 세계 최대 규모의 정보보안 컨퍼런스로, 매년 보안 연구자와 기업, 정부 기관 관계자가 한자리에 모여 최신 해킹 기법과 방어 전략, 업계 트렌드를 공유하는 자리입니다. 이번 글에서는 소나타입 리서치 랩 수석 보안 연구원 개럿 칼푸조스(Garrett Calpouzos)가 블랙햇 2026 현장에서 확인한 CVSS 무력화 논쟁, AI를 활용한 취약점 연구 사례, AI 에이전트발 프롬프트 인젝션 위협, 그리고 다시 강조되고 있는 최소 권한 원칙 등 핵심 트렌드를 정리해 소개합니다. *아래 글은 소나타입..

안녕하세요,그로메트릭 입니다. 🐸최근 개최된 OpenSSF Open Source Summit Korea 행사 현장은 오픈소스 생태계, 특히 'AI와 공급망 보안'에 대한 업계 실무자들의 뜨거운 관심으로 가득 찼습니다. 전 세계 인프라를 뒤흔드는 신종 위협에 맞서기 위해 수많은 보안 전문가들이 모여 집단 지성을 발휘하는 뜻깊은 시간이었습니다. 이러한 거대한 변화의 흐름에 발맞추어, 어제 8월 11일 OpenSSF의 지원을 받아 스페이스쉐어 삼성역 센터에서 '제1회 서울 오픈소스 보안 밋업(SOSS, Seoul Open Source Security Meetup)' 첫 번째 행사를 성공적으로 진행했습니다. 저희 그로메트릭은 협찬사로 참여하고, 김관영 대표님께서 행사 진행을 맡았습니다. 이번 SSOS 밋업의 ..

안녕하세요,그로메트릭 입니다. 🐸 npm 패키지 매니저를 사용하는 개발팀이라면 절대 가볍게 넘겨서는 안 될 소식입니다. 소나타입(Sonatype) 리서치랩이 'Flooding Dropper'라는 이름의 대규모 악성 패키지 캠페인을 포착했습니다. 지금까지 확인된 것만 846개에 달하는 npm 패키지가 이 캠페인에 연루돼 있으며, 조사가 진행될수록 그 규모는 계속 늘어나고 있습니다.이번 공격의 특징은 '자동화'입니다. 공격자는 하나의 계정에서 다량의 악성 패키지를 배포하는 대신, 수많은 npm 계정을 자동으로 생성해 소량의 패키지씩 분산 배포하는 전략을 택했습니다. bigops, bnpl 같은 특정 키워드를 조합한 패키지명과 35.x.y 버전대라는 공통점 외에는 단서가 많지 않아, 탐지와 차단이 유독 까다..

안녕하세요,그로메트릭 입니다. 🐸 최근 7월 뜨거운 감자였던 오픈AI(OpenAI)의 AI 모델이 허깅페이스(Hugging Face)의 인프라를 자율적으로 침투한 사건이 보안 업계를 뒤흔들고 있습니다. 내부 사이버 역량 평가 과정에서 AI 모델이 스스로 제로데이 취약점을 찾아내고, 탈취한 자격 증명과 원격 코드 실행(RCE)까지 연쇄적으로 활용해 실제 공격 경로를 완성해 낸 것입니다. 사람의 개입 없이 AI 에이전트가 처음부터 끝까지 수행한 최초의 사이버 공격 사례로 기록되며, 이는 단순한 해프닝이 아니라 소프트웨어 공급망 보안 전반의 취약점 평가 방식을 근본적으로 뒤흔드는 신호탄입니다. 기존에는 취약점을 하나씩 심각도와 도달 가능성에 따라 개별적으로 평가해 왔지만, 이제는 낮은 심각도로 분류됐던 취약..

안녕하세요,그로메트릭 입니다. 🐸급변하는 IT 환경 속에서, 공격자의 기술은 방어자의 대응 속도를 아득히 초월하고 있습니다. 특히 AI 기술이 취약점 분석과 익스플로잇 생성을 가속화하는 'Frontier AI' 시대가 도래하면서, 기존의 수동적인 보안 운영 방식은 거대한 한계에 직면했습니다.이러한 위협에 선제적으로 대응하기 위해, 그로메트릭은 23일 목요일 F5 파트너사 SE 및 세일즈 담당자를 대상으로 진행된 ‘Frontier AI 위협에 대응하는 F5의 보안 전략’ 원격 교육 세션에 참석하여 최전선의 인사이트를 확인하고 돌아왔습니다. 해당 세션 아젠다로는 Frontier AI 시대를 위한 보안원칙, 리스크를 줄이기 위한 실천 원칙, 애플리케이션 및 API 등 AI 서비스 전반의 보안 강화 방안이 심..

안녕하세요,그로메트릭 입니다. 🐸 Java 진영에서 라이브러리 하나를 내려받는 순간마다 당연하게 여겨온 Maven Central이, 사실은 전 세계 소프트웨어 딜리버리를 떠받치는 '숨은 인프라'라는 사실 알고 계셨나요? 빌드 도구, 스캐너, CI/CD 파이프라인, 의존성 해석, 자동 배포까지, 우리가 매일 실행하는 빌드 명령 뒤에는 Maven Central이라는 공용 인프라가 조용히 자리하고 있습니다. 평소엔 있는지도 잊고 지내다가, 문제가 생기는 순간에야 모두가 그 존재를 실감하게 되는 인프라이기도 합니다. 그런데 최근 소나타입(Sonatype)이 이 인프라의 운영 방식을 근본적으로 재검토하겠다고 예고했습니다. 핵심 문제의식은 '오픈소스 라이선스'와 '커뮤니티 오픈소스'를 같은 것으로 취급해서는 안 ..

안녕하세요,그로메트릭 입니다. 🐸 npm 생태계를 대상으로 한 공급망 공격이 다시 한번 새로운 국면을 맞이했습니다. 지난 2026년 6월 25일, 보안 연구팀들이 Shai-Hulud Miasma 캠페인의 최신 변종을 포착했습니다. 이번 공격의 핵심은 타이포스쿼팅이나 신규 악성 패키지 배포가 아닙니다. 수년간 개발자들이 신뢰해온 기존 패키지 그 자체를 감염시켰다는 점에서 이전 공격과 본질적으로 다릅니다. 공격자는 Leo Platform 오픈소스 생태계의 패키지 관리자 계정(czirker)을 탈취한 뒤, 정상 패키지의 새 버전에 악성 코드를 심어 배포했습니다. 특히 npm 설치 시 native 애드온 빌드를 위해 사용되는 binding.gyp 파일을 악용해, package.json의 lifecycle 스크..

안녕하세요,그로메트릭 입니다. 🐸2026년 6월 24일 수요일, 저희 그로메트릭은 F5의 공식 파트너로서 웨스틴 서울 파르나스 하모니볼룸에서 개최된 'F5 AppWorld 2026 Seoul' 행사에 다녀왔습니다. 전 세계적인 AI 열풍 속에서 애플리케이션 보안과 네트워크 기술이 어떻게 진화하고 있는지 현장의 생생한 인사이트를 전해드립니다.Agentic AI 시대, 새로운 방어선의 구축 ​🚧행사의 포문을 연 오전 기조연설은 F5의 수석부사장(SVP)과 CTO 주도로 진행되었으며, 최근 보안 업계의 핵심 화두인 'Agentic AI 보안 위협'에 대한 선제적 대응 방안이 심도 있게 다뤄졌습니다. 특히 프롬프트에서 토큰까지 이어지는 AI의 작동 원리를 분석하여 새로운 제어 포인트를 마련하는 F5 ADSP..