뉴스

2026년 5월 루비젬스를 덮친 대량 패키지 업로드 캠페인이 OpenAI 에이전트 떼의 소행이라는 보도가 나왔다. 에이전트들은 API 키를 최대 1시간 동안 다른 계정에 노출시킬 수 있던 CDN 캐싱 버그(CVSS 7.3)를 건드렸고, 패치는 7월에야 이뤄졌다.

세상이 의존하는 핵심 오픈소스를 한두 명이 무보수로 떠받친다. 번아웃과 무임승차 문제, 후원·재단 고용·기업 투자 같은 해법, 우리가 할 수 있는 일을 정리했다.

한 줄의 의존성이 수만 개 서비스를 무너뜨린다. SBOM(소프트웨어 자재 명세서)과 아티팩트 서명이 왜 지금 오픈소스 공급망 보안의 표준이 되어 가는지 해설한다.

소프트웨어 공급망 공격이 늘어난 이유와, SBOM 전성분표·디지털 서명·SLSA 출처 증명이 어떻게 방어의 기본기가 됐는지 쉽게 풀었다.