2026년 10월 11일
GhostAction 사고 분석: 악성 워크플로가 Git 이력의 키를 수집하는 방식
공개 워크플로 100개의 네 버전과 우버 저장소의 변경 기록을 대조했습니다. Git 이력에서 삭제된 키를 수집하는 경로, 전송 실패를 정상 종료로 처리하는 동작, 자격증명의 권한에 따른 대응 순서를 설명합니다.
김동현
블로그로 돌아가기
태그
NHI 보안
글 41개
2026년 10월 7일
MCP 서버의 API 키는 헤더가 아닌 대화창을 거쳐 전달됩니다
공식 MCP 레지스트리의 원격 서버마다 initialize 요청을 한 번씩 보냈습니다. 응답한 22,027곳 중 71.3%가 헤더 인증 없이 세션을 허용했고, 도구 인자로 전달되는 자격증명 필드는 3,705개였습니다. 그중 마스킹 대상으로 지정된 필드는 3개뿐이었습니다.
김동현
2026년 9월 18일
목록에 없을 뿐, 비공개는 아닙니다
2026년 9월 공개 표면 33곳에서 유효한 자격증명 23,912개를 확인했습니다. 7,468건은 권한 범위를 분류했고, 1,277건에는 다른 키의 발급 권한이 있었습니다. 실제 재발급 여부는 시험하지 않았습니다.
김동현
2026년 8월 5일
탐지 건수와 살아 있는 키 수를 따로 세는 법
발견 위치, 고유 자격증명, 마지막 유효성 상태는 다른 숫자입니다. 범위와 확인 시각을 정한 뒤 보고하는 방법을 설명합니다.
김동현
2026년 7월 28일
노출된 자격증명에서 조치까지: Cremit Platform의 실제 지원 범위
Cremit Platform이 노출된 자격증명을 찾고 지원 유형을 검증해 담당자 조치로 연결하는 방법과 범위.
김동현
2026년 7월 19일
AI 에이전트 자격증명: 도구·발급처·담당자를 확인하는 법
한 에이전트 작업은 여러 신원 경계를 거칠 수 있습니다. 노출된 키를 판단하기 전에 실제 권한·발견 위치·담당자를 확인하세요.
김동현
2026년 7월 15일
노출된 API 키 뒤의 머신 접근을 확인하는 법
노출된 키는 조사 단서입니다. 발급처, 계정, 권한, 사용 작업, 담당자를 찾아 접근 경로를 닫는 순서입니다.
김동현
2026년 6월 13일
슬랙 웹훅은 쓰기 전용입니다, AI 에이전트가 그 채널을 읽기 전까지는
유출된 슬랙 incoming webhook은 보통 낮은 심각도로 분류됩니다. 쓰기 전용에 채널 하나, 데이터 접근도 없기 때문입니다. 그러나 AI 에이전트가 그 채널을 읽고 도구로 행동하는 순간, 그 쓰기 전용 권한은 에이전트의 권한으로 들어가는 indirect prompt injection 경로가 됩니다. 전체 킬체인과 성립 조건, 방어법을 정리했습니다.
김동현
2026년 5월 19일
AntV npm 계정 탈취: 악성 버전과 실행 경로 확인하기
Socket과 SafeDep의 조사로 확인된 AntV 관련 npm 악성 버전을 살펴봅니다. 정확한 버전을 대조하고 실행 경로와 호스트에서 노출 가능했던 자격증명 범위를 확인하세요.
김동현
2026년 4월 30일
자격증명 노출 패턴 8가지와 대응 순서
NHI 자격증명 노출 패턴 여덟 가지를 실제 점검 신호와 대응 순서로 정리했습니다.
김동현
2026년 4월 25일
Bitwarden CLI npm 악성 패키지: 영향 범위와 대응
2026년 4월 22일 npm에서 악성 CLI 패키지가 93분간 배포됐습니다. 설치 여부와 조사 결과, Bitwarden의 공식 대응 권고를 확인합니다.
김동현
2026년 4월 20일
Vercel 2026년 4월 보안 사고, 결국 NHI 문제입니다: 무엇부터 교체해야 하는가
2026년 4월 19일 Vercel이 공식 확인한 사고는 한 직원이 쓰던 서드파티 AI 도구에서 시작돼 Google Workspace를 거쳐 Vercel 내부 시스템에 도달했고, 일부 고객 프로젝트의 환경 변수 중 sensitive 플래그가 없던 값들이 노출됐습니다. 확인된 사실과 루머를 나누고, 지금 무엇부터 교체해야 하는지 정리했습니다.
김동현
2026년 4월 20일
노출된 자격증명의 담당자를 모를 때
담당자가 불분명한 노출 자격증명의 유효성 확인, 소유자 조사, 교체 순서를 정리했습니다.
김동현
2026년 4월 17일
저장소와 티켓에서 같은 키를 발견했다면
서로 다른 소스 유형 두 곳의 발견 기록만으로 키의 이동 경로를 알 수는 없습니다. 접근 범위와 발급처 상태, 담당자를 확인하세요.
김동현
2026년 4월 15일
"범위 밖"이라는 면죄부: 버그바운티는 왜 자격증명 노출을 외면하는가
조직의 핵심 자격증명이 공개 저장소에 수년간 방치되었다. 보안 업계의 답은 "Out of scope."
김동현
2026년 4월 14일
파일은 삭제됐는데 키는 활성이라면: Zombie Key 조사
파일을 지워도 키는 폐기되지 않습니다. 발급처, Git 기록, 담당자, 마지막 유효성 확인 결과를 함께 살펴야 합니다.
김동현
2026년 4월 11일
같은 API 키가 저장소 세 곳에서 발견됐다면
발견 위치 세 곳만으로 실제 사용처를 모두 알 수는 없습니다. 키 종류와 발급처 상태, 권한, 연결 작업을 확인하세요.
김동현
2026년 4월 10일
90일 넘은 소스에 발견된 키: 확인해야 할 것
오래된 소스 기록과 활성 키만으로 키 수명을 알 수는 없습니다. 값이 들어온 시점과 발급처 상태, 권한, 연결 작업을 확인하세요.
김동현
2026년 4월 5일
사고 대응 대화와 티켓에서 API 키를 발견했다면
저장소 밖에서 키를 찾았다면 발견 위치의 접근권한, 발급처 상태, 담당자와 조치 결과를 따로 확인해야 합니다.
김동현
2026년 4월 2일
퇴사자와 연결된 API 키: 확인해야 할 근거
비활성 작성자와 연결된 활성 키는 조사 단서입니다. 디렉터리, 발견 위치, 발급처, 현재 담당자를 차례로 확인하세요.
김동현
2026년 3월 25일
보안 스캐너가 해킹 도구가 된 날: Trivy 공급망 공격의 사이버 킬체인 분석
Aqua Security의 Trivy가 해킹당해 LiteLLM까지 연쇄 감염된 TeamPCP 공급망 공격. 사이버 킬체인 7단계와 MITRE ATT&CK 매핑으로 분석하고, NHI 거버넌스 실패가 만든 연쇄 재앙의 교훈을 정리합니다.
김동현
2026년 3월 17일
공개 저장소에 API 키가 노출됐다면 먼저 확인할 것
공개 커밋은 노출의 근거이지 악용의 증거는 아닙니다. 키의 유효성, 권한, 발급처 기록, 연결 작업을 확인하는 순서입니다.
김동현
2026년 1월 25일
바이비트 해킹: Safe 지갑 조사로 확인된 공격 경로
2025년 2월 자산 탈취 사건에서 Safe 개발자 기기와 거래 승인 화면이 어떻게 침해됐는지, 공개 조사로 확인된 사실만 정리했습니다.
김동현
2025년 5월 29일
2025 DBIR로 본 자격증명 악용과 타사 연동 위험
Verizon 2025 DBIR의 자격증명 악용·타사 연루 수치를 살펴보고 팀이 점검할 자격증명 관리 절차를 정리했습니다.
김동현
2025년 4월 25일
OWASP NHI5: 머신 계정의 과도한 권한 확인하기
머신 계정의 권한을 줄이기 전에 작업에 필요한 접근, 발급처 정책, 실제 유효 접근, 사용 기록을 구분합니다.
김동현
2025년 4월 23일
키 교체 기록만으로는 노출 위치를 알 수 없다
라이프사이클 기록은 계획된 접근을, 시크릿 탐지는 연결한 소스에서 발견된 복사본을 보여줍니다. 두 기록을 대조해 조치할 키와 담당자를 정하세요.
김동현
2025년 4월 22일
OWASP NHI4:2025, 서비스 계정 인증 방식 점검하기
NHI4는 키 노출만의 문제가 아닙니다. OAuth 흐름과 정적 키, 토큰 권한, 인증 방식 교체 순서를 점검합니다.
김동현
2025년 4월 16일
MCP·A2A 보안: 에이전트와 도구 사이 자격증명 점검하기
MCP는 도구를, A2A는 에이전트를 연결합니다. 요청이 건너가는 지점마다 인증, 토큰 권한, 자격증명 노출을 확인하는 방법을 정리했습니다.
김동현
2025년 4월 1일
사람 계정과 워크로드 신원, 권한 검토는 어떻게 다를까요?
사람과 워크로드 모두 권한을 가질 수 있습니다. 신원, 인증 수단, 담당자, 종료 처리에서 각각 무엇을 확인해야 하는지 비교합니다.
김동현
2025년 3월 25일
tj-actions/changed-files 침해 사건 - NHI 보안을 중심으로
23,000개 넘는 저장소가 쓰던 GitHub Action이 변조되고 버전 태그까지 소급 조작되면서 CI/CD 시크릿이 빌드 로그로 새어 나왔습니다. 사건을 NHI 관점에서 읽습니다.
김동현
2025년 3월 18일
코드와 협업 도구에 숨은 자격증명 찾는 방법
저장소와 협업 도구에서 자격증명 노출을 예방하고, 찾고, 검증해 교체하는 순서를 정리했습니다.
김동현
2025년 3월 3일
OWASP NHI1: 서비스 운영을 지키며 머신 접근 정리하기
서비스가 끝나거나 담당자가 떠났다면 작업 지속 여부를 확인하고 책임을 이전하거나 접근을 폐기한 뒤 이전 키를 검증합니다.
김동현
2025년 2월 25일
AWS S3 연동으로 확인할 수 있는 자격증명
Cremit은 연결한 S3 버킷에서 읽을 수 있는 현재 객체를 검사합니다. 발견 위치와 발급처 상태, 건너뛴 객체와 이전 버전은 나눠 확인해야 합니다.
김동현
2025년 2월 25일
시크릿 탐지, 직접 운영할까 도구를 쓸까?
검사할 소스, 결과에 필요한 근거, 키를 폐기할 담당자부터 정하세요. GitHub 기본 기능, Gitleaks, Cremit을 실제 범위와 운영 책임으로 비교합니다.
김동현
2025년 2월 18일
OWASP NHI2: 시크릿 노출 후 확인할 네 가지
시크릿 발견만으로 악용을 단정할 수 없습니다. 노출 위치, 유효성, 접근 권한, 조치 담당자를 확인하는 순서입니다.
김동현
2025년 2월 4일
OWASP NHI3: 외부 연동에 맡긴 접근 권한 점검하기
외부 서비스가 가진 토큰으로 우리 SaaS 데이터에 접근할 수 있습니다. Salesloft Drift 사고와 GitHub App 관리 기능을 바탕으로 권한·담당자·로그·폐기 경로를 확인합니다.
김동현
2024년 12월 5일
워크로드 자격증명을 지키는 여섯 가지 점검
키나 볼트 항목을 늘리기 전에 사용 서비스를 확인하세요. 임시 인증, 권한 범위, 복사본, 노출 대응, 종료 처리까지 점검할 순서입니다.
김동현
2024년 8월 3일
Probe에서 Cremit Platform까지: 지금 가능한 자격증명 탐지
Cremit Platform의 지원 소스, 자격증명 유효성 확인, 조치 흐름과 현재 지원 범위를 정리했습니다.
김동현
2024년 4월 9일
OWASP NHI Top 10: 머신 신원 위험별 점검 항목
서비스 계정, 토큰, 배포 환경, 담당자를 기준으로 OWASP NHI 위험 열 가지를 점검하는 방법.
김동현
2024년 3월 4일
고객 인터뷰: ENlighten에서 얻은 인사이트
국내 에너지 IT 플랫폼 엔라이튼의 담당자에게 자격증명과 시크릿을 어떻게 관리하는지, Cremit을 왜 도입했는지 물었습니다.
김동현
2023년 10월 22일
시크릿 확산과 워크로드 신원 확산, 무엇을 따로 봐야 할까요?
한 자격증명이 여러 곳에 복사될 수 있고, 여러 서비스 신원에 권한이 쌓일 수도 있습니다. 복사본과 권한 주체를 따로 기록한 뒤 연결해 조사하는 방법입니다.
김동현