아티팩트 저장소에는 방화벽이 필요합니다.

안녕하세요,그로메트릭 입니다. 🐸 npm 등 공개 패키지 저장소에 의존해 개발하는 팀이라면 패키지가 개발 환경에 들어오는 지점을 반드시 점검해야 합니다.공격자는 악성 패키지를 직접 배포하거나 정상 프로젝트를 탈취해, 평범한 의존성 다운로드를 자격 증명 탈취와 빌드 침해의 통로로 바꾸고 있습니다. 악성 패키지는 설치 과정에서 코드를 실행되며, 이 시점의 개발자 PC와 빌드 시스템은 소스 코드, 토큰, 클라우드 계정, 배포 자격 증명에 접근할 수 있는 상태입니다. 여기에 CI 파이프라인과 AI 에이전트가 사람의 검토 없이 패키지를 자동으로 내려받으면서 요청량 자체가 늘고 있습니다. 소프트웨어 공급망 보안 관점에서 패키지 유입 시점의 통제 여부가 실질적인 비즈니스 리스크를 좌우하는 상황입니다.이번 소나타입 ..

CVE 대응만으론 부족하다: AI 시대 오픈소스 의존성 관리

안녕하세요,그로메트릭 입니다. 🐸 소프트웨어 취약점(CVE)이 공개될 때마다 보안·개발팀은 같은 순서로 움직입니다. 영향받는 컴포넌트를 쓰고 있는지 확인하고, 취약한 코드에 도달하는지 따지고, 수정 버전을 찾아 테스트한 뒤 프로덕션에 반영합니다. 그리고 곧 다음 권고문이 도착합니다. 문제는 CVE를 하나씩 쫓는 방식이 의존성이 이미 소프트웨어 안에 들어온 뒤에야 위험에 대응하게 만들 수 있다는 점입니다. 소나타입이 분석한 오픈소스 CVE 1,552건 중 64%에는 CVSS 점수가 없었고, 출처 간 심각도 분류가 일치한 비율은 19%에 그쳤으며, 점수 부여까지는 평균 6주가 걸렸습니다. AI가 컴포넌트를 찾고 도입하는 속도를 높이면서, AI 코딩 어시스턴트가 제안한 라이브러리가 검증되기 전에 프로젝트에 ..

안녕하세요,그로메트릭 입니다. 🐸 탈취된 npm 패키지에서 PolinRider 로더가 다시 발견되었습니다. 소나타입 리서치 랩스는 2026년 11월 4일, 탈취된 npm 패키지 10개의 릴리스 12건에서 숨겨진 런타임 로더를 확인했습니다. 영향받은 패키지는 Redux 연동, health API, 브라우저 활동 추적, 유틸리티 등 서로 무관한 기능을 제공합니다. 이 로더는 기존 PolinRider 활동에서 보고된 것과 동일한 하드코딩 이더리움 지갑이 보낸 트랜잭션을 조회해 페이로드 서버의 IP 주소를 알아낸 뒤, XOR로 인코딩된 JavaScript를 내려받아 실행하도록 설계되어 있습니다. 패키지 매니페스트에는 install·postinstall 훅이 없어, install 스크립트를 비활성화하는 것만으..

안녕하세요,그로메트릭 입니다. 🐸 생성형 AI 사용 정책은 마련했지만 실제로 어떤 AI가 쓰이고 있는지는 파악하지 못한 조직이라면 가볍게 넘겨서는 안 될 소식입니다.더욱더 늘어나는 AI 보안 위협, 소나타입(Sonatype)은 섀도우 AI를 하나의 위험이 아니라 세 가지 서로 다른 문제로 나눠 설명합니다.훌륭한 사용 정책이 있더라도 자사 소프트웨어 안에서 어떤 AI 모델이 동작하는지 모를 수 있다는 점에서, 소프트웨어 공급망 보안 관점의 실질적인 비즈니스 리스크로 이어질 수 있는 사안입니다. *아래 글은 소나타입(Sonatype)의 공식 블로그 글을 번역하여 작성되었습니다.섀도우 AI는 하나의 위험이 아니라 '세 가지 문제'입니다요약대부분의 기관과 계약업체는 생성형 AI 정책을 갖췄지만, 구성원이 실제..

안녕하세요,그로메트릭 입니다. 🐸 2026년 10월 17일, 한 연구자가 eMudhra 중간 인증기관(CA) 8곳의 개인키가 불충분한 무작위성으로 생성되어 복구될 수 있다고 보고했습니다. 여기에는 TLS 인증서용 6개와 코드 서명용 2개가 포함됩니다. 영향받는 TLS 키를 가진 사람은 웹사이트나 서비스용 인증서를 만들 수 있고, 해당 체인을 여전히 신뢰하는 클라이언트는 이를 받아들일 수 있다는 점이 핵심 리스크입니다. 브라우저와 운영체제 벤더는 영향받는 인증서를 차단했지만, 다른 소프트웨어는 별도로 존재하거나 번들된 인증서 신뢰 저장소(trust store)에 의존할 수 있어 브라우저 보호만으로는 조직 전체의 조치가 끝났다고 말할 수 없습니다.이번 글은 소나타입이 10월 21~23일에 공개한 eMudh..

안녕하세요,그로메트릭 입니다. 🐸 Maven Central에서 Java 의존성을 가져오는 개발팀이라면, 빌드가 성공하는 이면의 구조를 한 번쯤 짚어볼 필요가 있습니다. 개발팀이 의존성을 추가할 때 신뢰하는 대상은 파일 하나가 아닙니다.좌표와 일치하는 컴포넌트, 올바른 버전 해석을 돕는 메타데이터, 빌드 시점에 항상 가능한 다운로드까지 함께 신뢰하게 됩니다.이 과정은 대부분 자동으로 수행되기 때문에, 신뢰가 전제되어 있다는 사실은 평소에 잘 드러나지 않습니다. 소나타입의 OSPO Global Director인 Paul Horton은 퍼블리싱, 메타데이터, 가용성, 문제 대응, 장기 보존이라는 운영 요소가 이 신뢰를 만든다고 설명합니다. 의존성의 출처와 위험을 설명해야 하는 조직에게는 공급망 보안 관점에서..

안녕하세요,그로메트릭 입니다. 🐸 PHP 기반 웹사이트나 사내 포털, 또는 PHP 런타임을 내장한 제품을 운영하는 조직이라면 절대 가볍게 넘겨서는 안 될 소식입니다.PHP2Shell은 PHP 런타임에서 확인된 두 건의 치명적 취약점(CVE-2026-109618, CVE-2026-109619)을 묶어 부르는 명칭입니다.두 취약점 모두 인증 없이 원격 코드를 실행할 수 있는 상태로 이어질 수 있습니다.PHP 프로젝트는 웹 요청을 처리하는 모든 PHP 설치 환경이 영향 범위에 있으며, 특히 Apache의 mod_php 구성에서 위험이 가장 높다고 밝혔습니다. 소프트웨어 공급망 보안 관점에서, 패치 자체보다 어느 시스템에 PHP가 있고 누가 책임지는지 모르는 상태가 실질적인 비즈니스 리스크로 이어질 수 있는 ..

안녕하세요,그로메트릭 입니다. 🐸 AI 덕분에 아이디어에서 풀 리퀘스트(PR)까지 걸리는 시간은 분 단위로 줄었습니다. 그런데 소프트웨어를 배포하는 일까지 쉬워졌다고 할 수 있을까요? 코드는 빨리 도착했지만, 실패한 빌드와 의존성 충돌, 뒤늦게 발견된 이슈, 가치 없는 업그레이드 때문에 릴리스는 늦어질 수 있습니다. 코드 생성량은 도구가 만들어 낸 활동량일 뿐, 사용자에게 전달된 프로덕션 수준의 소프트웨어가 얼마나 되는지, 그 과정에서 계획에 없던 작업이 얼마나 생겼는지는 보여주지 않습니다. 의존성 문제가 빌드나 릴리스까지 번지면 구성요소의 사용 위치 파악, 교체, 자격 증명 노출 가능성 평가로 작업이 이어집니다. 결국 핵심은 AI가 만든 속도 이점이 PR에서 프로덕션까지 얼마나 살아남느냐입니다. 소나..

안녕하세요,그로메트릭 입니다. 🐸 npm, PyPI 등 오픈소스 패키지를 내려받아 빌드하는 개발팀이라면 이번 3분기 데이터는 가볍게 넘겨서는 안 될 내용입니다.소나타입(Sonatype)은 2026년 3분기에 149,329건의 악성 오픈소스 패키지를 식별했습니다.2017년 추적을 시작한 이후 누적 건수는 1,960,846건으로 200만 건에 근접했습니다.이 중 npm이 133,579건으로 전체의 89.5%를 차지했습니다.그러나 이번 분기의 핵심은 물량이 아닙니다. 악성 행위가 명확히 확인된 패키지 27,618건 가운데 약 4분의 3이 추가 페이로드 배포 또는 시크릿 탈취를 수행했다는 점이 더 중요합니다.하나의 패키지 침해가 자격 증명 유출, 추가 악성코드 설치, 신뢰된 계정 탈취로 이어지면 공급망 보안 ..

안녕하세요,그로메트릭 입니다. 🐸 npm install 한 줄이면 끝나는 패키지 설치가, 개발자의 열쇠 꾸러미를 통째로 넘기는 순간이 될 수 있습니다. 개발 환경에 저장된 자격증명이 노출되면 소스 코드 저장소와 빌드·배포 인프라 운영 전반으로 위험이 번질 수 있다는 점에서, 이는 개발자 한 사람의 문제로 끝나지 않습니다. 소나타입 리서치팀이 분석한 TensorLake TypeScript SDK의 악성 릴리스(tensorlake@0.5.144)는 설치 시점에 preinstall 훅으로 난독화된 JavaScript 페이로드를 실행했고, GitHub 토큰과 HashiCorp Vault 자격증명은 물론 Claude, Cursor, Kiro, Codex, Gemini, Windsurf 등 AI 개발 도구의 설..