[테크톡노트] 공식 경로로 받았는데 악성코드…AI 공급망의 허점

AI 요약

지난달 21일 글로벌 AI 모델 연동 도구 라이트LLM(LiteLLM)의 공식 소프트웨어 배포망이 해킹돼 악성코드가 포함된 1.107.0 버전이 유포되었고, 공격자는 인증정보 탈취와 원격 코드 실행 기능을 불러오는 악성코드를 정상 소프트웨어에 삽입했습니다. 개발사는 악성 버전을 배포 저장소에서 회수하고 이전 버전과 비공개 기업용 버전은 안전하다고 밝혔으나, 위즈는 문제의 악성 패키지가 약 4만9천회 다운로드된 것으로 추정했고 이미 설치해 실행한 환경에서는 추가적인 보안 점검이 필요하다고 했습니다. 이번 사건은 2024년 12월 울트라리틱스, 2022년 12월 파이토치 사례와 함께 AI 개발 생태계의 배포 과정·오픈소스 구성요소·인증정보 접근 권한 등을 포함한 공급망 전반의 무결성 확인과 관리가 필요하다는 지적을 부각했습니다.