오픈 소스 소프트웨어를 위한 SecureChain

주요 내용: FedRAMP 20x가 A, B, C 등급에 대해 시행 중이며, 2026년 규정은 2027년 1월 1일부터 전면적으로 의무화됩니다. 한 가지 주요 보안 지표는 자동 모니터링을 설명합니다...

주요 내용: CISA의 2026년 최소 구성 요소는 2026년 7월 29일부로 2021년 미국 국립통신정보청(NTIA)의 기준치를 대체했으며, 17개의 데이터 필드를 규정했습니다. 행정관리처(OMB)는...

요약: 2026년 10월 8일 UTC 기준 01:12에 npm에 악성 ‘[email protected]’가 등장했습니다. 이번에는 타이포스쿼트가 아닙니다. 이 SDK는 해당 프로젝트의 개발자가 직접 제작한 진짜 Tensorlake TypeScript SDK입니다...

git blame을 기억하시나요? 언젠가 누군가가 물려받은 코드베이스에서 이 명령어를 실행하게 될 것이고, 그러면 여러분이 몇 년 전에 내린 결정들이 드러나게 될 것입니다. 그 사람은 당황할 것입니다. 어쩌면...

npm audit를 실행해 보니, 14개의 취약점(낮음 3개, 보통 6개, 높음 4개, 심각 1개)이 발견되었습니다. 어머나, 무려 14개나 되네요. 아마도 이 프로젝트는...

주요 내용: 2026년 9월 11일부터 CRA 제14조에 따라, 자사 제품에 악용 중인 취약점이 존재한다는 사실을 인지한 후 24시간 이내에 이를 신고해야 합니다. 최상위...

주요 요점: 오타와 AI 환각 현상 모두 공격자에게 활용 가능한 패키지 이름을 제공하며, 둘 다 익스플로잇이 필요하지 않습니다. 출처 추적(provenance)은 아티팩트의 출처를 입증할 뿐, 해당 커밋이...

npm install을 실행할 때마다 우리는 신뢰를 표명하는 것입니다. node_modules 폴더를 바라보며 ‘여기에는 도대체 무엇이 들어 있는 걸까?’라고 생각해 본 적이 있으신가요? 현대 소프트웨어 개발 환경에서 우리는...

LLM에게 코드를 생성해 달라고 요청한 적이 있으신가요? 그리고 ‘이게 정말 안전한 걸까?’ 하고 의문을 품어본 적은 없으신가요? 기업들이 ‘AI 유니콘’을 채용하고, Claude나 Copilot 같은 도구가 표준으로 자리 잡으면서, 사람들은 쉽게...

주요 요점: ‘Third Coming’과 ‘Miasma’는 도난당한 장기 유효 유지 관리자 토큰이 아닌, 신뢰할 수 있는 CI 게시 경로를 악용했습니다. 릴리스 콘텐츠를 심사하는 레지스트리라면, 설령...

주요 요점: 스캔은 JAR 파일의 내용을 알려줄 뿐, 해당 파일이 프로젝트에서 공개한 소스 코드와 일치하는지 여부는 알려주지 않습니다. 유효한 좌표 정보를 가진 조작된 빌드는 어느 쪽도...