전문가로부터 배우고, 컴플라이언스에 대해 알아야 할 모든 것을 이해하고, 긴급한 보안 질문에 대한 답을 찾으세요.
시크릿 스캐너는 팀을 거짓 경보로 파묻는 것으로 악명 높습니다. 그리고 무시당한 알림 하나하나가 진짜 유출이 숨을 자리가 됩니다. 이 기술 가이드는 시크릿 스캐닝 오탐의 두 가지 근본 원인, 오픈소스 룰셋을 그대로 가져올 때 문제가 왜 더 커지는지, 그리고 능동 검증이 어떻게 시끄러운 탐지 결과를 팀이 신뢰할 수 있는 신호로 바꾸는지를 설명합니다.
유출된 슬랙 incoming webhook은 보통 낮은 심각도로 분류됩니다. 쓰기 전용에 채널 하나, 데이터 접근도 없기 때문입니다. 그러나 AI 에이전트가 그 채널을 읽고 도구로 행동하는 순간, 그 쓰기 전용 권한은 에이전트의 권한으로 들어가는 indirect prompt injection 경로가 됩니다. 전체 킬체인과 성립 조건, 방어법을 정리했습니다.
2026년 5월 19일 01:39 UTC부터 02:56 UTC 사이, 두 차례의 집중 burst로 npm 패키지 323개에 악성 버전 639개가 게시되었습니다. 탈취된 `atool` 세션 하나는 진입점에 불과했습니다. 페이로드의 worm 로직이 감염된 호스트의 다른 메인테이너 npm 토큰까지 수집해 그 명의로 재배포했으며, 이로 인해 웨이브에 30명의 publisher 핸들이 분포합니다. Cremit Argus는 OSSF flagged 이벤트에 대해 의도적으로 LLM 합의를 우회하는 OSV-MAL override 경로를 통해 30분 안에 324건을 surface 했습니다. 본 글은 공격 구조, 탐지 방법론, 그리고 분석 초기 단계의 false-positive 사례를 정리합니다.
Cremit 리서치 팀이 월 1회 보내드리는 짧은 브리프입니다.
