AI VIDEO BRIEFING
유로파이썬 2026 보안 패널: 슬롭스쿼팅과 공급망 침해로 본 생성형 AI 시대의 오픈소스 방어
유로파이썬 2026 패널에서 파이썬 재단과 깃허브 보안 연구자들이 모였다. LLM 환각을 노린 패키지 선점 공격, 3시간 만에 12만 건이 설치된 공급망 침해, 폭증하는 취약점 신고를 짚었다. 유지보수자의 부담도 함께 논의됐다.
핵심 메시지
- LLM이 없는 패키지 이름을 지어내면 공격자가 그 이름을 미리 등록해 악성코드를 심는 슬롭스쿼팅 공격이 성립한다.
- 인기 패키지 한 곳이 뚫린 사고에서 악성 버전이 살아 있던 세 시간 남짓 동안 약 12만 건이 설치됐다.
- 취약점 신고량이 폭증하고 있다. 깃허브의 CVE 발급은 전년 대비 두 배 반, 비공개 취약점 신고는 월 1,000건에서 1만 3,000건으로 늘었다.
- PyPI는 이름 선점 차단 대신 '격리' 상태를 도입했다. 삭제는 되돌릴 수 없지만 격리는 사람이 판단할 시간을 벌어 준다.
- LLM이 보안 진입 장벽을 낮추면서, 기존에 없던 오픈소스 보안 기여의 첫 계단이 생겼다.
쉽게 이해하기
유로파이썬 2026에서 열린 이 패널에는 파이썬 소프트웨어 재단에서 PyPI와 파이썬 언어 보안을 맡은 두 사람, 깃허브 시큐리티 랩의 취약점 연구자, 피싱 탐지 회사의 엔지니어, 그리고 철학과 사회과학을 전공한 개발자가 함께 앉았다. 생성형 AI가 보안 지형을 어떻게 바꾸는지를 기술과 윤리 양쪽에서 다루자는 것이 기획 의도였다.
탐지 쪽에서는 AI가 기존 도구의 빈틈을 메우고 있다는 평가가 나왔다. 정적 분석은 SQL 인젝션 같은 주입형 취약점에는 강하지만 규칙이 경직돼 있어 권한 검사 우회나 인증 우회, 비즈니스 로직 결함은 놓치기 쉽다. 코드를 읽고 이해하는 유연함 덕분에 이런 유형이 새로 잡히기 시작했다는 것이다. 반면 피싱 탐지 쪽 패널은 생성형 AI 자체로는 큰 이득이 없었고, 문장의 의도와 긴급성을 분석하는 자연어 처리 쪽에서 도움을 받고 있다고 전했다.
패널이 가장 길게 다룬 주제는 슬롭스쿼팅이었다. 오타를 노리는 타이포스쿼팅에 빗대 붙인 이름으로, LLM이 실재하지 않는 패키지 설치를 권하고 공격자가 같은 모델에 물어 그 이름을 미리 등록해 두는 공격이다. 파이썬에서 이런 환각이 잦은 이유도 설명됐다. 배포 파일 이름과 실제 임포트 이름이 일치하지 않아도 되기 때문에, 모델이 둘을 헷갈릴 여지가 구조적으로 존재한다는 것이다.
그렇다면 PyPI가 환각 이름을 미리 등록해 막으면 되지 않을까. 답은 부정적이었다. 모든 가능성을 잡는 것은 불가능에 가깝고, 그렇게 하면 이용자에게 '알아서 걸러 준다'는 잘못된 안심을 주게 된다는 것이다. 대신 패널은 pip audit 같은 도구를 쓰고, 채팅이나 커뮤니티에 올라온 문자열이 아니라 PyPI에서 직접 이름을 복사하라고 권했다.
실제 사고 사례로는 널리 쓰이는 LLM 연동 패키지가 공급망 경로로 침해된 일이 소개됐다. 보안 스캐닝 도구 자체의 취약점이 출발점이었고, 최신 버전을 그대로 받아들이던 환경에서 자격 증명이 유출되면서 악성 버전이 PyPI에 올라갔다. 담당자가 자고 있던 세 시간 남짓 동안 약 12만 건이 설치된 것으로 추정된다. 패널의 권고는 단순하다. 버전을 고정하고, 새 버전을 곧바로 받지 말고 며칠 식히는 기간을 두라는 것이다.
주요 인사이트
- PyPI 운영자에게 원래 있던 유일한 대응 수단은 프로젝트 삭제였다. 되돌릴 수 없는 조치라 판단을 최대한 미루게 되는데, 그 사이 피해가 커진다. 그래서 도입된 것이 설치는 막되 페이지는 남기는 격리 상태이고, 신뢰도 높은 신고자 두세 명의 판단이 겹치면 자동으로 격리되도록 만들었다.
- 깃허브 시큐리티 랩은 MCP 도구와 전용 프롬프트를 붙인 에이전트로 오픈소스 취약점을 찾고 있다. 핵심은 발견 자체가 아니라 반복 검증 루프다. 오탐을 걸러 내야 신고서의 품질이 유지되기 때문이다.
- 숫자가 상황을 말해 준다. 깃허브가 발급한 CVE는 전년 약 2,900건에서 7월 중순까지 이미 7,400건을 넘겼고, 비공개 취약점 신고는 1월 월 1,000건 수준에서 5월 1만 3,000건으로 늘었다. 유지보수자 한 명이 감당할 수 있는 양이 아니다.
- 공격자가 일방적으로 유리해진 것은 아니라는 반론도 나왔다. LLM 덕에 초보도 피싱 사이트를 만들 수 있게 됐지만, 범죄에 서툰 사람은 모델이 낸 실수를 잡아내지 못해 오히려 쉽게 붙잡힌다는 것이다. 이득을 크게 보는 쪽은 원래부터 숙련된 조직이다.
- 인간적 측면도 비중 있게 다뤄졌다. 쏟아지는 출력에 압도돼 내용을 확인하지 않고 승인만 누르게 되는 상황을 한 패널은 주체성의 상실로 설명했다. 반대로 난독증이 있는 개발자에게는 표현의 부담을 덜어 주는 접근성 도구가 된다는 이야기도 함께 나왔다.
자주 묻는 질문
슬롭스쿼팅은 정확히 어떤 공격인가?
LLM이 존재하지 않는 패키지 이름을 설치하라고 권할 때, 공격자가 같은 질문으로 그 이름을 알아내 미리 등록해 두는 공격이다. 이용자가 안내대로 설치하면 악성코드를 받게 된다. 패널은 설치처럼 보안 경계를 넘는 행동을 지시받았을 때는 반드시 직접 확인하라고 권했다.
왜 파이썬에서 패키지 이름 환각이 자주 생기나?
배포 파일 이름과 코드에서 쓰는 임포트 이름이 일치하지 않아도 되는 구조 때문이다. pillow를 설치하고 pil로 임포트하는 사례처럼, 모델은 이 차이를 알 맥락이 없으면서도 확신에 찬 어조로 답하는 경향이 있다.
공급망 사고를 막으려면 무엇부터 해야 하나?
의존성 버전을 고정하고, 최신 버전을 자동으로 따라가지 않는 것이다. 패널은 새로 올라온 버전을 며칠 지켜본 뒤 도입하는 냉각 기간을 두고, 먼저 검증하는 쪽은 전문 보안팀에 맡기라고 조언했다.
AI로 만든 코드를 오픈소스에 기여해도 되나?
프로젝트마다 정책이 다르므로 일률적인 답은 없다는 것이 패널의 입장이다. 정책이 명시돼 있지 않다면 먼저 사람에게 물어보라고 권했고, 결과물의 품질에 자기 이름을 걸 수 있는지가 판단 기준이 된다고 덧붙였다.
원문과 출처
이 글은 원본 영상의 자막을 바탕으로 한국어 독자를 위해 요약했습니다. 전체 맥락과 최신 정보는 원문에서 확인하세요.
YouTube 원본 영상 보기 ↗