Security

총 9개 게시물

2026-07-15 11분

깃허브 PAT 500여 개 유출, 개인 계정은 경찰 권고문대로 점검해도 침해 흔적이 안 나온다

경찰청이 배포한 깃허브 PAT 유출 보안권고문의 점검 지시는 개인 계정에서 해볼 수는 있지만 침해를 잡아내지 못한다. PAT를 든 공격자는 로그인하지 않고, security log에는 clone/push 기록이 없기 때문이다. 원문 2026-C-0002를 공식 문서와 대조했다.

#audit-log #credential-leak #devsecops #github #github-security #incident-response #korean-national-police #personal-access-token #secret-management #security-advisory #security-log #token-rotation

Security

2026-06-30 5분

NGINX HTTP/3·HTTP/2 동시 패치: CVE-2026-42530·42055 분석

NGINX 1.31.2가 막은 CVE-2026-42530·42055는 둘 다 CVSS 9.2 Critical이지만, RCE는 ASLR 우회 조건에서만 성립하고 실제 악용 정황은 아직 없다. HTTP/3 또는 HTTP/2 프록시를 쓰는 노출 서버라면 우선 패치 대상이다.

#cve-2026-42055 #cve-2026-42530 #f5 #heap-overflow #http2 #http3 #nginx #quic #rce #security #use-after-free #vulnerability

Security

2026-06-15 5분

앤트로픽 Fable 5·Mythos 5, 미국 정부 수출통제로 출시 사흘 만에 셧다운된 전말

미국 정부가 2026년 6월 12일 국가안보를 이유로 앤트로픽 Fable 5와 Mythos 5의 수출통제 지시를 내려, 출시 사흘 만에 두 모델이 전 세계에서 전면 중단됐다. 외국 국적자 차단 명령이 사실상 전체 셧다운으로 이어진 이번 사태의 전말과 쟁점을 정리한다.

#ai-policy #ai-regulation #ai-security #anthropic #claude #cybersecurity #export-control #fable-5 #frontier-model #jailbreak #mythos-5 #national-security

Security

2026-05-18 7분

Mini Shai-Hulud 재림 — SLSA 증명까지 위조한 npm 자가전파 웜

2026년 5월 11일 npm 생태계에 유효한 SLSA Build Level 3 증명서를 단 자가전파 웜이 풀렸다. TanStack 84개 버전을 포함해 @uipath·@mistralai 등이 감염됐고, 탈취한 OIDC 토큰으로 정상 CI/CD 파이프라인을 통째로 하이재킹하는 4단계 체인 공격이다.

#ci-cd #credential-theft #github-actions #infra #malware #mini-shai-hulud #npm #npm-worm #oidc #security-incident #slsa #supply-chain #tanstack #teampcp

Security

2026-04-20 5분

Vercel 보안 침해 분석 — Context.ai OAuth 탈취로 배포 파이프라인까지 뚫렸다

2026년 4월 Vercel 내부 시스템이 침해됐다. 제3자 AI 에이전트 플랫폼 Context.ai의 Google Workspace OAuth 앱이 공격 진입점이 됐고, 공격자는 직원 계정에서 환경 변수·NPM 토큰·GitHub 토큰·배포 파이프라인까지 접근 범위를 단계적으로 확장했다. Vercel은 Mandiant를 투입하고 법 집행기관에 신고했다.