#supply-chain

Hacker News는 이번 Bitwarden CLI 사고를 평범한 npm 이슈가 아니라, 비밀정보가 몰린 개발 워크플로우를 정면으로 건드린 GitHub Actions 공급망 사고로 받아들였다. 2026년 4월 25일 크롤링 시점 기준 스레드는 855점, 416댓글이었다.

Hacker News가 이 글을 강하게 밀어 올린 이유는 공급망 공격이 얼마나 평범한 경로로 들어오는지 너무 선명하게 보여주기 때문이다. 오래된 WordPress 플러그인 포트폴리오가 매각된 뒤 8개월 동안 잠복한 code path가 켜졌고, 그 결과 30개가 넘는 플러그인과 이미 감염된 wp-config.php가 문제의 중심에 섰다.

Hacker News에서 크게 논의된 글은, 인수 이후 30개가 넘는 WordPress 플러그인에 dormant backdoor가 심어졌고 수개월 뒤 활성화됐다는 포렌식 보고서를 끌어올렸다.

OpenAI는 Axios package compromise가 macOS app-signing pipeline에 영향을 줬다고 2026년 4월 10일 공개했다. 회사는 user data나 product compromise 증거는 없다고 밝혔지만, 인증서를 교체하고 macOS 앱 업데이트를 요구하고 있다.

OpenAI는 2026년 4월 10일 Axios package compromise가 자사 macOS app-signing GitHub Actions workflow에 영향을 줬다고 밝혔다. 회사는 사용자 데이터나 시스템, 배포 소프트웨어의 침해 증거는 없다고 했지만, macOS 사용자는 2026년 5월 8일 전에 새 certificate로 서명된 build로 업데이트해야 한다고 안내했다.

OpenAI는 macOS 앱 서명에 사용하던 GitHub Actions 워크플로에서 악성 Axios 1.14.1 패키지가 실행됐다고 밝혔다. 회사는 사용자 데이터 노출이나 앱 변조 증거는 없다고 했지만, 인증서를 교체하면서 ChatGPT Desktop, Codex App, Codex CLI, Atlas 사용자의 업데이트를 May 8, 2026 전까지 요구하고 있다.

GitHub는 X를 통해 dependency locking, policy-based execution, runner network control을 포함한 Actions 보안 로드맵을 공개했다. 계획에는 workflow-level dependency 잠금, ruleset 기반 실행 보호, GitHub-hosted runner용 native egress firewall이 포함된다.

`r/singularity`에서는 미국 데이터센터 계획의 절반가량이 지연 또는 취소되고 있다는 보도를 두고 큰 반응이 나왔다. 핵심 쟁점은 GPU 공급만이 아니라 변압기, 스위치기어, 배터리 같은 전력 설비와 중국 의존 공급망이 AI 인프라 확장의 속도를 결정하고 있다는 점이다.

FutureSearch의 incident transcript가 Hacker News에서 빠르게 확산됐다. 악성 LiteLLM 패키지가 어떻게 transitive dependency를 통해 유입되고 72분 안에 식별·격리됐는지를 구체적으로 보여줬기 때문이다.

OpenAI가 January 2026에 U.S. hardware manufacturing RFP를 내고 consumer devices, AI datacenters, robotics 생산 파트너를 찾기 시작했다. 향후 10년 동안 핵심 제조와 조립의 상당 부분을 미국에 현지화하겠다는 계획을 공개 문서로 못 박은 셈이다.

Google은 AI가 vulnerability discovery와 공격 자동화를 동시에 키우는 상황에서 open source maintainer를 더 직접 지원하겠다며 새 보안 투자를 발표했다. 이번 발표는 Alpha-Omega를 통한 공동 $12.5 million pledge와 Big Sleep, CodeMender, Sec-Gemini 같은 AI defender tools를 한 흐름으로 묶는다.

r/artificial 게시글은 OpenClaw 사례가 이미 OWASP Agentic 취약점 10개 중 8개를 현실에서 건드렸다고 주장하는 3월 2일자 분석 글을 재조명했다. 공급망 오염과 localhost WebSocket 신뢰 문제가 핵심이다.