“공급망 공격에 AI 사용 ··· 하루만에 500개 저장소 공격 시도”

핵심 요약

클라우드 보안 기업 위즈(WIZ)가 'prt-scan' 캠페인에서 공격자들이 인공지능(AI)을 활용하여 오픈소스 소프트웨어 공급망을 공격한 사례를 공개했습니다. 공격자들은 AI를 사용하여 대형 오픈소스 프로젝트부터 개인 취미 프로젝트까지 500개 이상의 코드 저장소에 악성 패키지를 업로드하고 풀 리퀘스트(PR)를 생성했습니다. 이는 기존 수일에서 수주가 걸리던 맞춤형 악성 패키지 생성 작업을 AI를 통해 시간당 21건, 26시간 동안 475개 이상 처리하는 등 공격 속도와 규모를 비약적으로 증대시킨 Supply Chain Compromise(T1195) 전술입니다. IT 감사인과 CISO는 AI를 활용한 공급망 공격의 위협을 인지하고, 소프트웨어 개발 및 배포 파이프라인 전반에 걸쳐 무결성 검증 및 보안 통제를 강화해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치소프트웨어 개발 및 배포 파이프라인(CI/CD) 전반에 걸쳐 코드 서명, 바이너리 무결성 검증, 종속성 스캐닝(Dependency Scanning)을 강화하고, 모든 외부 라이브러리 및 오픈소스 컴포넌트에 대한 정기적인 취약점 점검 및 무결성 검증 절차를 자동화하여 적용해야 함을 권고함.
• ✔기술적 조치AI 기반의 악성 코드 생성 및 우회 공격에 대응하기 위해, EDR, SIEM, XDR 등 보안 솔루션의 탐지 규칙을 AI 기반 위협 인텔리전스와 연동하여 고도화하고, 비정상적인 풀 리퀘스트 또는 코드 변경 패턴을 탐지할 수 있는 시스템을 구축 및 운영할 것을 권고함.
• ✔관리적 조치AI 모델 및 생성형 AI 기술의 잠재적 악용 가능성에 대한 위험 평가를 정기적으로 수행하고, 이에 대한 보안 정책 및 가이드라인을 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발자 및 보안 담당자를 대상으로 AI 기반 공급망 공격의 최신 동향 및 방어 전략에 대한 교육을 강화하고, 안전한 코딩 및 개발 보안(DevSecOps) 문화를 정착시킬 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문