Exploits Now Beat Patches: Open Source Security in the AI Era - Patrick Smyth, Chainguard

한 줄 핵심

AI와 에이전트가 공격자의 생산성을 크게 끌어올리면서, 오픈소스 소프트웨어 공급망 보안은 패치 중심 방어에서 서명·검증·하드닝 중심 방어로 전환해야 한다는 주장이다.

시간별 요약

1. 0:00
   소개 Chainguard 관점에서 Frontier AI가 오픈소스 리스크 허용치를 바꿨다는 문제의식을 제시하며, 오늘의 초점이 소프트웨어 공급망 보안임을 밝힌다.
2. 0:58
   올해의 AI 기반 공격 ChatGPT, Cloud, Code 도구 등을 활용해 단독 공격자가 대규모 유출과 랜섬웨어, 다수 조직 침해를 수행한 사례가 이어지며, 공격자의 역량이 한 단계씩 상승하고 있다.
3. 2:33
   이제는 패치보다 익스플로잇이 먼저 온다 과거에는 취약점 공개 후 패치가 먼저였지만, 최근에는 평균적으로 익스플로잇이 패치보다 약 70일 먼저 나타나고 있어 방어 기준이 완전히 뒤집혔다.
4. 3:45
   30일 대응이 실패하는 이유 스캐너로 CVE를 모아 30일 안에 처리하는 기존 운영 방식은 공격 속도에 비해 너무 느리며, 알려진 취약점과 제로데이, AI로 촉진된 공격 때문에 실효성이 급격히 떨어졌다.
5. 4:59
   공급망 악성코드의 물결 Shai Hulud 같은 웜성 공급망 공격과 Trivy, Axios 등 주요 생태계 공격이 연쇄적으로 이어지며, 하나의 침해가 다수 의존성으로 번지는 구조적 위험이 커지고 있다.
6. 6:44
   영원한 9월 에이전트와 Frontier 모델이 개발과 공격을 동시에 가속하면서, 신뢰가 높던 환경이 계속해서 낮은 신뢰 환경으로 바뀌는 '영원한 9월' 상태가 공급망 전반에 확산되고 있다.
7. 8:11
   공급망의 핵심 문제 사용자에게 책임을 지는 동시에 상류(upstream)에서 가져온 외부 코드를 신뢰해야 하는 구조 자체가 소프트웨어 공급망 보안의 근본 문제이며, 완전히 벗어날 수 없는 딜레마가 존재한다.
8. 9:12
   올해 해야 할 일 cool-down 기간, 빠른 취약점 대응, SLSA와 Sigstore 기반 서명, 개발자 노트북 보안, 컨테이너화와 CI/CD 정비를 우선해야 하며, 더 이상 몇 년 전 수준의 방어로는 버틸 수 없다.
9. 11:19
   네 가지 공격 표면 악성코드, 알려진 취약점, 제로데이, 그리고 CI/CD·개발자 워크스테이션·에이전트 계층 같은 소프트 타깃이 서로 다른 방식으로 공격되며, 특히 새로운 소프트 타깃이 빠르게 중요해지고 있다.
10. 13:56
    Chainguard가 각 문제를 다루는 방법 취약점 없는 컨테이너, 소스에서 다시 빌드하는 라이브러리, 제로데이 공유 컨소시엄, 강화된 CI/CD 액션과 Wolfi 같은 롤링 배포로 공급망의 여러 층을 동시에 줄인다.
11. 17:01
    모든 것을 서명하라: SLSA와 Sigstore 아티팩트 생성 시점에 서명하고 배포 시 검증하는 zero-trust 파이프라인이 핵심이며, 소스와 배포 사이를 가로채는 공격을 줄이기 위해 provenance와 서명이 필수다.
12. 19:16
    에이전트 스킬 하드닝 외부에서 온 agent skills를 하드닝 파이프라인에 통과시켜 배포하는 방식이 필요하며, 실제로 상당수 스킬이 악성 또는 보안상 위험하므로 조직 내부에서도 검증과 배포 체계가 중요하다.
13. 20:22
    마무리 금융 업계를 포함한 청중에게 관련 행사와 자료를 안내하며, 이번 발표의 핵심이 공급망 보안을 더 이상 미룰 수 없는 실무 과제로 받아들이는 데 있음을 정리한다.

실무 인사이트

• 취약점 스캐닝만으로는 부족하므로, 패치 속도 경쟁 대신 서명·검증·재빌드처럼 공격면 자체를 줄이는 통제를 먼저 넣어야 한다.
• AI 시대의 핵심 리스크는 모델 자체보다도 개발자 워크스테이션, CI/CD, 에이전트 스킬처럼 소프트웨어가 흘러가는 경로에 집중된다.
• 조직은 외부 패키지를 그대로 소비하는 방식에서 벗어나, 중요한 구성요소는 내부 기준으로 다시 빌드하고 검증하는 체계로 전환해야 한다.