SafeDep이 npm·pip 설치 명령을 감싸 악성 패키지를 설치 직전에 막는 오픈소스 도구 PMG를 내놨어요. 공격 표적이 CI/CD 서버에서 개발자 본인 컴퓨터로 옮겨왔다는 문제의식에서 출발했고, 위협 정보 조회, 갓 올라온 버전을 미뤄두는 의존성 쿨다운, 설치 스크립트를 운영체제 샌드박스에 가두기까지 세 겹으로 막아요. 아파치 2.0 라이선스에 별 470개, 63번째 릴리스까지 나왔고 마지막 손질이 하루 전이라 유지보수는 살아 있는 편이에요.
용어 풀이
- PMG
- 패키지 매니저 가드. npm·pip 같은 설치 명령을 감싸 악성 패키지를 설치 전에 막는 도구.
- CI/CD
- 코드를 자동으로 합쳐 검사하고 배포까지 이어주는 자동화 과정.
- 의존성 쿨다운
- 갓 공개된 패키지 버전을 일정 기간 설치하지 않고 미뤄두는 방어 설정.
운영자 인사이트
쿨다운 하나만 보면 pnpm 11이 이미 기본 하루로 켜서 내보내고 있으니, PMG의 값어치는 npm과 pip를 한 겹으로 덮고 설치 스크립트까지 가둬준다는 쪽이에요. 대신 설치하려는 패키지 이름이 SafeDep 서버로 나가고 사용 정보 수집도 기본으로 켜져 있어서, 사내에 넣기 전엔 이 둘을 끌 수 있는지부터 확인하는 게 좋아요.
여러 관점으로 보기
- 커뮤니티 반응 Show HN 글은 4점에 댓글 한 개뿐이라 토론이 거의 붙지 않았어요. 같은 회사가 올린 공격 분석 글이 391점을 받은 것과 대비돼요. Hacker News
- 사태 배경 샤이훌루드 웜은 설치 스크립트로 개발자 컴퓨터의 토큰을 훔쳐 스스로 퍼졌고, 2026년 5월에도 314개 패키지가 다시 감염됐어요. Hacker News
- 패키지 매니저 자체 방어 pnpm 11은 새로 올라온 버전을 기본 하루 미루는 설정을 켠 채 배포돼서, 쿨다운은 이제 별도 도구 없이도 얻을 수 있어요. pnpm
- 동작 방식 상세 프록시 방식은 로컬에 작은 프록시를 띄워 저장소 요청을 가로채요. 다만 Go 지원은 실험 단계고 사내 비공개 모듈은 검사에서 빠져요. GitHub