---
title: "악성 npm 패키지가 AI 개발도구의 지침 파일과 MCP까지 노리기 시작함"
published: 2026-05-27T03:05:03.507Z
canonical: https://jeff.news/article/3311
---
# 악성 npm 패키지가 AI 개발도구의 지침 파일과 MCP까지 노리기 시작함

이스트시큐리티가 웹과 탈중앙화금융 개발자를 겨냥한 악성 npm 패키지 캠페인을 포착했어. 공격자는 유명 웹3 도구를 사칭하는 데서 그치지 않고, AI 에이전트가 읽는 프로젝트 지침 파일과 MCP 기반 외부 도구 호출까지 공격 경로로 삼으려 했어.

- 악성 npm 패키지 공격이 이제 AI 개발도구의 작업 방식까지 파고들고 있음
  - 이스트시큐리티는 웹과 탈중앙화금융(DeFi) 개발자를 겨냥한 악성 npm 패키지 캠페인을 포착함
  - 공격자는 6일 동안 22종의 악성 npm 패키지를 배포했고, Hardhat, Ethers.js, Foundry 같은 실제 웹3 개발 도구명을 사칭함

- 예전 공급망 공격이 “패키지 설치하면 악성 코드 실행”에 가까웠다면, 이번 건은 공격면이 더 넓어졌음
  - 깃허브에 위장 저장소와 정적 페이지까지 만들어 정상 프로젝트처럼 보이게 꾸밈
  - npm 패키지뿐 아니라 AI 개발도구가 읽는 프로젝트 지침 파일과 AI 에이전트가 호출하는 외부 도구까지 건드리려 함

> [!WARNING]
> AI 에이전트가 읽는 지침 파일은 그냥 문서가 아니라 실행 흐름에 영향을 주는 입력이 될 수 있음. 저장소 안의 알 수 없는 지침 파일을 무조건 신뢰하면 민감 정보 유출 경로가 될 수 있음.

- MCP 기반 보안 감사 도구처럼 보이는 패키지도 등장함
  - 개발자가 AI 에이전트에게 환경변수나 자격증명 점검을 시키는 상황을 노린 것으로 분석됨
  - 해당 도구에는 호출 시 입력값이나 프로젝트 메타데이터를 외부 웹훅으로 전송하는 코드가 포함돼 있었음
  - 보안 점검 도구인 척하면서 오히려 키와 환경 정보를 빼가려는 패턴이라 꽤 악질임

- 저장소 설정 파일에 악의적 지시문을 넣는 방식도 확인됨
  - 프로젝트 지침이 AI 작업 맥락에 반영되면, AI가 민감 정보를 외부로 보고하도록 유도하는 흐름임
  - 이건 악성 코드 실행만 막는다고 끝나는 문제가 아니라, AI가 어떤 문서를 지시로 받아들이는지까지 봐야 한다는 뜻임

- 일부 패키지는 로컬 AI 서빙 환경까지 정찰 대상으로 삼았음
  - 내부 네트워크에서 실행 중인 Ollama, Open WebUI 같은 AI 서비스 엔드포인트를 탐색하는 코드가 포함됨
  - 프롬프트 주입을 시도하는 코드도 있었지만, 구현 오류 때문에 실제 성공 여부는 확인되지 않았음
  - 그래도 방향성은 분명함. 개발자 로컬 머신과 내부 AI 도구가 새로운 침투 지점이 되고 있음

- 데이터 유출 방식도 단순 HTTP 요청에만 머물지 않았음
  - 일부 페이로드는 수집 데이터를 DNS 질의 형태로 외부 전송하려는 코드도 포함함
  - 네트워크 탐지를 우회하려는 의도로 분석됨
  - 노출될 수 있는 정보는 개인키, 암호화폐 지갑 복구 구문, 거래소 API 키, SSH 키, 환경변수 등 개발자 입장에서 치명적인 것들임

- 대응은 꽤 현실적인 체크리스트로 떨어짐
  - 의심 패키지 설치 여부를 전수 점검하고, 노출 가능성이 있는 자격증명은 교체해야 함
  - IDE 지침 파일, MCP 서버, AI 도구 연동 설정도 검증 대상에 넣어야 함
  - 출처가 불분명한 AI 도구 연동은 권한을 최소화하고, 위험 도메인은 네트워크 차단까지 고려해야 함

---

## 기술 맥락

- 이번 공격이 신경 쓰이는 이유는 AI 에이전트가 개발 환경 안에서 꽤 많은 권한을 갖기 시작했기 때문이에요. 예전에는 패키지 설치 스크립트만 조심하면 됐지만, 이제는 에이전트가 읽는 문서와 호출하는 도구도 실행 흐름의 일부가 됐거든요.

- MCP가 공격면으로 언급된 것도 같은 맥락이에요. MCP는 AI가 외부 도구를 잘 쓰게 만드는 연결 계층인데, 그 도구가 악성이면 입력값, 파일 메타데이터, 환경 정보가 그대로 빠져나갈 수 있어요. 편해진 만큼 신뢰 경계가 흐려진 셈이에요.

- 프로젝트 지침 파일은 특히 애매해요. 코드처럼 리뷰하지 않지만, AI에게는 행동 지침으로 작동할 수 있거든요. 그래서 저장소에 새로 들어온 지침 파일이나 IDE 설정 파일도 코드 리뷰 대상처럼 보는 습관이 필요해요.

- 로컬 AI 서비스 탐색까지 나온 건 개발자 머신이 더 이상 단순 작업 도구가 아니라는 뜻이에요. Ollama나 Open WebUI처럼 내부에서 도는 서비스가 있으면, 포트 노출과 접근 제어를 챙겨야 하고 프롬프트 주입까지 위협 모델에 넣어야 해요.

## 핵심 포인트

- 6일 동안 22종의 악성 npm 패키지가 배포됨
- Hardhat, Ethers.js, Foundry 같은 웹3 개발 도구명이 사칭됨
- MCP 기반 보안 감사 도구처럼 위장해 입력값과 프로젝트 메타데이터를 웹훅으로 빼내려 함
- Ollama, Open WebUI 같은 로컬 AI 서비스 엔드포인트 탐색과 프롬프트 주입 시도 코드도 확인됨
- 개인키, 지갑 복구 구문, 거래소 API 키, SSH 키, 환경변수 등이 노출 위험 정보로 언급됨

## 인사이트

AI 개발도구 시대의 공급망 공격은 이제 패키지 설치 스크립트만 보는 걸로 끝나지 않아. 에이전트가 읽는 지침 파일, 호출하는 MCP 서버, 로컬 AI 엔드포인트까지 전부 신뢰 경계 안으로 들어왔다는 게 핵심이야.