AI
AI 공격 프레임워크, 6시간 만에 자격증명 수천 건 탈취…2만3800개 비밀정보 관리 현장
침해된 클라우드에 올라간 다중 에이전트가 6시간도 안 돼 대규모 자격증명 탈취 작전을 설계하고 실행했다. 별도 공격 인프라를 오래 준비하지 않아도 2만3800개가 넘는 비밀정보를 관리할 만큼 공격 속도와 규모가 커졌다는 현장 증거다.
2분 소요
태그
#supply-chain
#supply-chain 태그가 달린 기사
AI
Dependabot 기본 3일 대기 도입… 공급망 악성 릴리스 완충
Dependabot이 버전 업데이트 PR을 만들기 전 새 릴리스가 registry에 최소 3일 머물도록 기본값을 바꿨다. 보안 업데이트는 즉시 열리며, teams는 cooldown 설정으로 기간을 조정하거나 끌 수 있다.
1분 소요 22 조회
AI Google Cloud
GKE shadow AI 추적, Google이 k8s-aibom으로 연 런타임 BOM
Kubernetes 안에서 몰래 돌기 시작한 AI 런타임과 agent framework를 빌드 시점이 아니라 실행 중에 잡아내는 도구가 나왔다. Google Cloud는 2026년 7월 14일 GKE용 오픈소스 컨트롤러 k8s-aibom을 공개하고 CycloneDX 1.6 ML-BOM을 자동 생성한다고 밝혔다.
2분 소요 20 조회
AI
GitHub 5,561개 저장소 덮친 Megalodon, CI/CD가 공격 표면으로
Megalodon 캠페인은 6시간 동안 5,718개 악성 commit을 5,561개 GitHub 저장소에 밀어 넣었다. 공격자는 애플리케이션 코드보다 GitHub Actions workflow를 노려 cloud credential과 CI secret을 빼내는 구조를 택했다.
1분 소요 40 조회
AI
34개 악성 패키지 TrapDoor, AI 코딩 설정까지 노린 공급망 공격
npm, PyPI, Crates.io에 걸친 34개 악성 패키지가 지갑 파일, SSH 키, 클라우드 토큰을 노렸다. 더 큰 쟁점은 .cursorrules와 CLAUDE.md까지 건드려 AI 코딩 도구가 공격자의 지시를 읽게 만들려 했다는 점이다.
2분 소요 33 조회
AI
개발자 노트북까지 훑는 공급망 스캐너, Perplexity Bumblebee 공개
Perplexity가 macOS·Linux 개발자 머신을 읽기 전용으로 점검하는 Bumblebee를 오픈소스로 공개했다. npm, PyPI, Go modules, MCP 설정, VS Code 계열 확장, 브라우저 확장까지 한 번에 보는 공급망 대응 도구다.
2분 소요 38 조회
AI
독성 VS Code 확장으로 GitHub 내부 저장소 3,800개 탈취 — TeamPCP 소행
해커 그룹 TeamPCP가 VS Code 마켓플레이스에 올린 독성 Nx Console 확장(게시 11분 만에 삭제)을 통해 GitHub 직원 PC를 침해하고 내부 저장소 약 3,800개를 탈취했다고 GitHub이 5월 20일 확인했다. 1Password·Anthropic Claude Code·AWS 자격증명이 유출됐으며, 공격자는 5만 달러에 데이터를 판매 시도 중이다.
1분 소요 44 조회
AI 해커뉴스
TanStack npm 공급망 공격 전말 — 자격증명 교체 필수
2026년 5월 11일 공격자가 GitHub Actions 취약점 세 가지를 연계해 42개 @tanstack/* 패키지에 악성 버전 84개를 게시했다. 설치한 개발자·CI 환경은 AWS·GCP·GitHub·npm·SSH 자격증명을 즉시 교체해야 한다.
1분 소요 43 조회
AI
OpenAI, Axios 공급망 공격으로 macOS 앱 인증서 폐기
북한 해커가 오픈소스 라이브러리 Axios에 악성코드를 삽입한 공급망 공격으로, 오픈AI의 macOS 앱 코드 서명 인증서가 노출됐다. 5월 8일까지 앱을 업데이트하지 않으면 실행 불가능.
1분 소요 38 조회
AI 해커뉴스
PyTorch Lightning 공급망 감염, HN 관심은 모델보다 import 한 줄의 위험
HN이 반응한 지점은 Shai-Hulud 농담보다 import 순간 시작되는 감염 경로였다. 학습 코드에서 흔히 쓰는 패키지 두 버전이 자격 증명과 클라우드 비밀을 훔치고 저장소 오염까지 시도했다는 점이 충격을 키웠다.
1분 소요 38 조회
AI 해커뉴스
비밀번호 관리자까지 뚫린 GitHub Actions 공급망 사고, HN이 더 무겁게 본 이유
Hacker News는 이번 Bitwarden CLI 사고를 평범한 npm 이슈가 아니라, 비밀정보가 몰린 개발 워크플로우를 정면으로 건드린 GitHub Actions 공급망 사고로 받아들였다. 2026년 4월 25일 크롤링 시점 기준 스레드는 855점, 416댓글이었다.
2분 소요 38 조회
AI 해커뉴스
Hacker News가 주목한 WordPress 공급망 악몽, 플러그인 30개에 숨은 backdoor
Hacker News가 이 글을 강하게 밀어 올린 이유는 공급망 공격이 얼마나 평범한 경로로 들어오는지 너무 선명하게 보여주기 때문이다. 오래된 WordPress 플러그인 포트폴리오가 매각된 뒤 8개월 동안 잠복한 code path가 켜졌고, 그 결과 30개가 넘는 플러그인과 이미 감염된 wp-config.php가 문제의 중심에 섰다.
2분 소요 39 조회