악성 npm 패키지가 AI 개발도구의 지침 파일과 MCP까지 노리기 시작함

• 악성 npm 패키지 공격이 이제 AI 개발도구의 작업 방식까지 파고들고 있음

  • 이스트시큐리티는 웹과 탈중앙화금융(DeFi) 개발자를 겨냥한 악성 npm 패키지 캠페인을 포착함
  • 공격자는 6일 동안 22종의 악성 npm 패키지를 배포했고, Hardhat, Ethers.js, Foundry 같은 실제 웹3 개발 도구명을 사칭함

• 예전 공급망 공격이 “패키지 설치하면 악성 코드 실행”에 가까웠다면, 이번 건은 공격면이 더 넓어졌음

  • 깃허브에 위장 저장소와 정적 페이지까지 만들어 정상 프로젝트처럼 보이게 꾸밈
  • npm 패키지뿐 아니라 AI 개발도구가 읽는 프로젝트 지침 파일과 AI 에이전트가 호출하는 외부 도구까지 건드리려 함

• MCP 기반 보안 감사 도구처럼 보이는 패키지도 등장함

  • 개발자가 AI 에이전트에게 환경변수나 자격증명 점검을 시키는 상황을 노린 것으로 분석됨
  • 해당 도구에는 호출 시 입력값이나 프로젝트 메타데이터를 외부 웹훅으로 전송하는 코드가 포함돼 있었음
  • 보안 점검 도구인 척하면서 오히려 키와 환경 정보를 빼가려는 패턴이라 꽤 악질임

• 저장소 설정 파일에 악의적 지시문을 넣는 방식도 확인됨

  • 프로젝트 지침이 AI 작업 맥락에 반영되면, AI가 민감 정보를 외부로 보고하도록 유도하는 흐름임
  • 이건 악성 코드 실행만 막는다고 끝나는 문제가 아니라, AI가 어떤 문서를 지시로 받아들이는지까지 봐야 한다는 뜻임

• 일부 패키지는 로컬 AI 서빙 환경까지 정찰 대상으로 삼았음

  • 내부 네트워크에서 실행 중인 Ollama, Open WebUI 같은 AI 서비스 엔드포인트를 탐색하는 코드가 포함됨
  • 프롬프트 주입을 시도하는 코드도 있었지만, 구현 오류 때문에 실제 성공 여부는 확인되지 않았음
  • 그래도 방향성은 분명함. 개발자 로컬 머신과 내부 AI 도구가 새로운 침투 지점이 되고 있음

• 데이터 유출 방식도 단순 HTTP 요청에만 머물지 않았음

  • 일부 페이로드는 수집 데이터를 DNS 질의 형태로 외부 전송하려는 코드도 포함함
  • 네트워크 탐지를 우회하려는 의도로 분석됨
  • 노출될 수 있는 정보는 개인키, 암호화폐 지갑 복구 구문, 거래소 API 키, SSH 키, 환경변수 등 개발자 입장에서 치명적인 것들임

• 대응은 꽤 현실적인 체크리스트로 떨어짐

  • 의심 패키지 설치 여부를 전수 점검하고, 노출 가능성이 있는 자격증명은 교체해야 함
  • IDE 지침 파일, MCP 서버, AI 도구 연동 설정도 검증 대상에 넣어야 함
  • 출처가 불분명한 AI 도구 연동은 권한을 최소화하고, 위험 도메인은 네트워크 차단까지 고려해야 함

---

기술 맥락

• 이번 공격이 신경 쓰이는 이유는 AI 에이전트가 개발 환경 안에서 꽤 많은 권한을 갖기 시작했기 때문이에요. 예전에는 패키지 설치 스크립트만 조심하면 됐지만, 이제는 에이전트가 읽는 문서와 호출하는 도구도 실행 흐름의 일부가 됐거든요.

• MCP가 공격면으로 언급된 것도 같은 맥락이에요. MCP는 AI가 외부 도구를 잘 쓰게 만드는 연결 계층인데, 그 도구가 악성이면 입력값, 파일 메타데이터, 환경 정보가 그대로 빠져나갈 수 있어요. 편해진 만큼 신뢰 경계가 흐려진 셈이에요.

• 프로젝트 지침 파일은 특히 애매해요. 코드처럼 리뷰하지 않지만, AI에게는 행동 지침으로 작동할 수 있거든요. 그래서 저장소에 새로 들어온 지침 파일이나 IDE 설정 파일도 코드 리뷰 대상처럼 보는 습관이 필요해요.

• 로컬 AI 서비스 탐색까지 나온 건 개발자 머신이 더 이상 단순 작업 도구가 아니라는 뜻이에요. Ollama나 Open WebUI처럼 내부에서 도는 서비스가 있으면, 포트 노출과 접근 제어를 챙겨야 하고 프롬프트 주입까지 위협 모델에 넣어야 해요.