[테크톡노트] 공식 경로로 받았는데 악성코드…AI 공급망의 허점

AI 요약

지난달 21일 글로벌 AI 모델 연동 도구 라이트LLM의 공식 배포망이 해킹돼 악성코드가 포함된 1.107.0 버전이 유포되며 인증정보 탈취와 원격 코드 실행 기능을 불러오는 악성코드가 삽입됐습니다. LiteLLM 개발사는 악성 버전을 회수하고 이전 버전과 비공개 기업용 버전은 영향이 없다고 밝혔지만, 해외 보안업체 위즈는 해당 악성 패키지가 약 4만9천회 다운로드된 것으로 추정했고 이미 실행된 환경에서는 인증정보 노출 가능성이 있어 정상 버전 교체 외에 추가 보안 점검이 필요하다고 했습니다. 울트라리틱스(2024년 12월)와 파이토치(2022년 12월) 사례처럼 AI 개발에 쓰이는 소프트웨어의 배포 과정과 구성요소가 공급망 공격의 통로가 될 수 있어 소프트웨어 무결성 확인, 오픈소스 구성요소 관리, 인증정보 접근 권한 최소화 등 공급망 전반을 고려한 보안 대응이 필요하다고 지적됐습니다.