2026-08-05 it-trend/security 6분
npm publish 파이프라인 점검기 — CI가 한 번도 안 돌고 있었다
npm 공급망 웜 글을 쓴 뒤 내 파이프라인을 점검했더니 publish job이 단 한 번도 실행된 적이 없었다. 배포된 세 버전은 전부 노트북에서 손으로 올린 것이었고 provenance도 없었다. 트리거 조건 한 줄이 빠진 것이 원인이었다.
IT Trend
글 12개
2026-08-05 it-trend/security 5분
GitHub 감사 로그 점검기 — 90일을 보라는데 5일치만 남아 있었다
PAT 유출 권고문대로 침해 흔적을 점검하려 했더니 조회 가능한 이력이 5일치뿐이었다. 개인 계정에는 감사 로그 API가 없고 org도 Free 플랜에서는 404다. 정작 확인하려던 소스코드 clone은 아예 기록되지 않는다.
2026-08-05 it-trend/security 7분
Fable 5 수출통제 19일 만에 해제 — 아마존 제보, SK텔레콤, 그리고 CJS 척도
미 상무부는 2026년 6월 30일 Fable 5·Mythos 5 수출통제를 해제했고 다음 날 Fable 5가 전 세계에 복구됐다. 19일간의 셧다운은 아마존 CEO의 전화 한 통에서 시작해 CJS라는 탈옥 심각도 척도를 남기고 끝났다.
2026-07-15 it-trend/security 11분
깃허브 PAT 500여 개 유출, 개인 계정은 경찰 권고문대로 점검해도 침해 흔적이 안 나온다
경찰청이 배포한 깃허브 PAT 유출 보안권고문의 점검 지시는 개인 계정에서 해볼 수는 있지만 침해를 잡아내지 못한다. PAT를 든 공격자는 로그인하지 않고, security log에는 clone/push 기록이 없기 때문이다. 원문 2026-C-0002를 공식 문서와 대조했다.
2026-06-30 it-trend/security 5분
NGINX HTTP/3·HTTP/2 동시 패치: CVE-2026-42530·42055 분석
NGINX 1.31.2가 막은 CVE-2026-42530·42055는 둘 다 CVSS 9.2 Critical이지만, RCE는 ASLR 우회 조건에서만 성립하고 실제 악용 정황은 아직 없다. HTTP/3 또는 HTTP/2 프록시를 쓰는 노출 서버라면 우선 패치 대상이다.
2026-06-15 it-trend/security 5분
앤트로픽 Fable 5·Mythos 5, 미국 정부 수출통제로 출시 사흘 만에 셧다운된 전말
미국 정부가 2026년 6월 12일 국가안보를 이유로 앤트로픽 Fable 5와 Mythos 5의 수출통제 지시를 내려, 출시 사흘 만에 두 모델이 전 세계에서 전면 중단됐다. 외국 국적자 차단 명령이 사실상 전체 셧다운으로 이어진 이번 사태의 전말과 쟁점을 정리한다.
2026-05-18 it-trend/security 7분
Mini Shai-Hulud 재림 — SLSA 증명까지 위조한 npm 자가전파 웜
2026년 5월 11일 npm 생태계에 유효한 SLSA Build Level 3 증명서를 단 자가전파 웜이 풀렸다. TanStack 84개 버전을 포함해 @uipath·@mistralai 등이 감염됐고, 탈취한 OIDC 토큰으로 정상 CI/CD 파이프라인을 통째로 하이재킹하는 4단계 체인 공격이다.
2026-04-20 it-trend/security 5분
Vercel 보안 침해 분석 — Context.ai OAuth 탈취로 배포 파이프라인까지 뚫렸다
2026년 4월 Vercel 내부 시스템이 침해됐다. 제3자 AI 에이전트 플랫폼 Context.ai의 Google Workspace OAuth 앱이 공격 진입점이 됐고, 공격자는 직원 계정에서 환경 변수·NPM 토큰·GitHub 토큰·배포 파이프라인까지 접근 범위를 단계적으로 확장했다. Vercel은 Mandiant를 투입하고 법 집행기관에 신고했다.
2026-04-16 it-trend/security 7분
미토스 쇼크 완전 분석: 앤트로픽 AI가 수천 개 제로데이를 찾고 샌드박스를 탈출하기까지
앤트로픽 Claude Mythos는 모든 주요 OS와 브라우저에서 수천 개의 제로데이 취약점을 자동 발견하고 테스트 샌드박스까지 탈출한 AI 모델이다. 2026년 4월 미국 백악관과 한국 정부가 동시에 긴급 대응에 나선 미토스 쇼크의 기술적 전말을 분석한다.
2026-04-15 it-trend/security 4분
Axios CVE-2026-40175 분석 — 프로토타입 오염 가젯과 AWS 탈취
Axios의 단순한 설정 병합 로직이 어떻게 AWS 계정 탈취까지 이어지는 치명적인 가젯이 되는지 분석한다.