안녕하세요,그로메트릭 입니다. 🐸 오픈소스 패키지를 설치하는 개발팀과 CI/CD 파이프라인을 운영하는 조직이라면 눈여겨봐야 할 분석입니다.소나타입(Sonatype)이 공식 블로그에서 악성 오픈소스 패키지가 왜 유독 CI/CD 자격증명을 노리는지 짚었습니다.자격증명 하나만 손에 넣어도 소스 코드, 빌드 시스템, 패키지 레지스트리, 클라우드 인프라, 운영 배포 환경까지 닿을 수 있기 때문입니다. 2025년 소나타입이 분석한 악성 패키지 가운데 53%는 설치 단계에서 개발 환경을 노리도록 만들어져 있었습니다.의존성 하나를 설치했을 뿐인데 악성 릴리스 배포와 빌드 오염으로 번질 수 있다는 점에서, 공급망 보안 관점의 실질적인 비즈니스 리스크로 이어질 수 있는 사안입니다. *아래 글은 소나타입(Sonatype)..
