pile·
보안·당근daangn·

당근이 파이썬 공급망 공격에 대응하는 방법

문제LiteLLM, PyTorch Lightning 등 PyPI 패키지가 공급망 공격으로 악성 버전이 업로드된다. 주요 공격 10건 중 일부는 일주일 미만의 짧은 노출 기간을 가졌다.

접근당근이 내부 PyPI 프록시를 구축해 모든 패키지 설치 요청을 중앙화. PEP 503(HTML) 응답을 클라이언트에 주면서 PEP 691(JSON) API로 업로드 시간을 확인하고, 정해진 쿨다운 기간 안의 패키지를 필터링한다. 정책은 Central Dogma로 동적 관리.

결과PyTorch Lightning 공격 시 쿨다운 정책으로 악성 버전 설치를 자동 차단. 회사 전체에 일관된 보안 정책이 적용된다.

당근
당근 블로그
원문은 여기서 이어서 읽을 수 있어요
원문 읽기
읽음 (0)

이 글과 비슷한

  1. 보안·베스핀글로벌베스핀글로벌·

    AI Paradox (2) | 보안 공격도 AI가 하는 시대, 기업 자산을 지키는 4가지 전략

    문제해커가 직접 공격하던 시대에서 AI 가 자동으로 취약점을 찾는 시대로 진화. 이미지 패턴·학습 데이터 오염·프롬프트 인젝션 등 신규 공격 표면.

    접근4단계 방어: 사내 AI·데이터 접근 현황 파악 → 배포 전 모의 해킹 → 실시간 입출력 필터링 → 24시간 모니터링. 더불어 승인 안 된 AI 도구 사용 통제, AI 에이전트에 사람과 동등한 신원·권한 관리.

    결과적대적 입력·데이터 포이즈닝·프롬프트 인젝션·과도한 권한 부여로 인한 내부 시스템 초기화 같은 사고를 사전 차단.

    #ai-security#threat-modeling#prompt-injection+2