악성 npm 패키지, 이제 AI 에이전트 지침 파일까지 노린다

• 악성 npm 패키지 공격이 이제 웹3 개발자와 AI 코딩 환경을 같이 노리고 있음

  • 이스트시큐리티가 확인한 공격자는 6일 동안 악성 npm 패키지 22종을 배포함
  • 하드햇, 이더스닷제이에스, 파운드리처럼 실제 웹3 개발자가 쓰는 도구명을 사칭해 패키지를 정상 도구처럼 보이게 만듦
  • 깃허브에도 위장 저장소와 정적 페이지를 만들어서, 대충 보면 진짜 프로젝트처럼 보이게 꾸몄다는 점이 꽤 골치 아픔

• 포인트는 단순한 패키지 감염이 아니라, AI 에이전트가 호출하는 도구까지 공격 경로로 썼다는 것임

  • 공격자는 MCP 기반 보안 감사 도구처럼 보이는 패키지를 만들어 둠
  • 개발자가 AI 에이전트에게 환경변수나 자격증명 점검을 시키는 상황을 노린 셈
  • 이 도구에는 호출 시 입력값이나 프로젝트 메타데이터를 외부 웹훅으로 전송하는 코드가 들어 있었음

• 더 찝찝한 부분은 프로젝트 지침 파일까지 악용하려 했다는 점임

  • 저장소 설정 파일에 악의적 지시문을 심어두고, AI 개발도구가 이 지침을 작업 맥락으로 읽는 상황을 노림
  • 지침이 반영되면 민감 정보를 외부로 보고하도록 유도하는 방식이 확인됨
  • 이제는 악성 코드만 보는 게 아니라, 저장소 안의 “AI가 읽는 문서”도 공격면으로 봐야 함

• 로컬 AI 환경 정찰 코드도 들어 있었음

  • 일부 패키지는 사람이나 AI 에이전트가 후속 스크립트를 실행하도록 유도함
  • 해당 스크립트는 내부 네트워크에서 실행 중인 올라마, 오픈웹유아이 같은 AI 서비스 엔드포인트를 탐색함
  • 프롬프트 주입을 시도하는 코드도 있었지만, 구현 오류가 있어 실제 성공 여부는 확인되지 않음

• 유출 대상은 개발자 입장에서 치명적인 것들임

  • 개인키, 암호화폐 지갑 복구 구문, 거래소 에이피아이 키, 에스에스에이치 키, 환경변수 등이 노출 위험 정보로 언급됨
  • 일부 페이로드는 일반 HTTP 요청뿐 아니라 DNS 질의 형태로도 데이터를 외부 전송하려 했음
  • 보안 장비가 HTTP 위주로 탐지하는 환경이라면 DNS 기반 유출은 놓치기 쉬워서 더 성가심

• 대응은 꽤 현실적임. 패키지, 자격증명, AI 도구 설정을 한 번에 봐야 함

  • 설치된 패키지 전수 점검
  • 노출 가능성이 있는 자격증명 교체
  • IDE 지침 파일과 MCP 서버 연동 설정 검증
  • 위험 도메인 네트워크 차단
  • 출처가 불분명한 AI 도구 연동은 일단 의심하고 봐야 함

---

기술 맥락

• 이번 공격이 무서운 이유는 공급망 공격의 대상이 코드 패키지에서 AI 작업 맥락으로 확장됐기 때문이에요. 예전에는 설치 스크립트나 의존성 트리를 주로 봤다면, 이제는 에이전트가 읽는 지침 파일과 호출하는 MCP 도구까지 같이 봐야 하거든요.

• MCP 도구는 원래 AI 에이전트에게 외부 기능을 붙이는 편리한 연결점이에요. 그런데 그 도구가 보안 감사 도구처럼 위장하면, 개발자가 일부러 환경변수와 자격증명을 넘겨주는 상황이 생겨요. 공격자 입장에서는 꽤 좋은 진입점인 셈이에요.

• 로컬 AI 서비스 탐색도 의미가 있어요. 올라마나 오픈웹유아이처럼 내부망에서 돌아가는 모델은 외부 서비스보다 느슨하게 관리되는 경우가 많거든요. 공격 코드가 이런 엔드포인트를 찾는다는 건, 로컬 개발 환경도 운영 환경만큼 검증해야 한다는 신호예요.

• 실무적으로는 AI 도구에 최소 권한을 주는 게 핵심이에요. 에이전트가 프로젝트 전체와 모든 환경변수에 접근할 필요가 없다면 막아야 하고, 저장소에 들어온 지침 파일도 코드 리뷰 대상에 포함하는 게 맞아요.