#공급망공격

'샤이훌루드' 공급망 웜 공격으로 수억 건 패키지 감염

주간 1억 회 이상 다운로드되는 Node.js 패키지인 keyv 및 관련 캐싱 라이브러리들의 유지보수자 GitHub 계정이 해킹당해 악성 코드가 주입되었습니다. 이 악성 코드는 사용자의 환경에 있는 npm, GitHub, AWS 등의 인증 정보를 탈취한 뒤 암호화하여 외부로 유출하며, 다른 유지보수자의 패키지로 자가 전파되는 웜(Worm) 형태로 작동합니다. 현재 수백 개의 패키지가 추가 감염되었으며 월 20억 건 이상의 설치에 영향을 미친 매우 심각한 공급망(Supply Chain) 보안 사고입니다.

허깅페이스 학습 데이터 7.6PB 스캔, 비밀키 대량 유출 발견

보안 업체 TruffleHog가 AI 오픈 데이터 허브인 허깅페이스(Hugging Face)의 공개 학습 데이터 7.6PB를 대규모로 스캔했습니다. 그 결과 6,000여 개의 데이터셋에서 22만 개 이상의 유효한 API 키와 인증 정보가 노출되어 있는 것을 확인했습니다. 이는 코드를 악의적으로 수정할 수 있는 권한의 깃허브(GitHub) 토큰부터 대규모 클라우드 인프라 접근 권한까지 포함되어 있어, AI 공급망 보안의 심각성을 보여줍니다.