Microsoft's open source tools were hacked to steal passwords of AI developers
마이크로소프트의 깃허브 오픈소스 프로젝트 수십 개가 해킹돼 악성코드가 심어졌다. 이 악성코드는 AI 개발 도구를 사용하는 개발자의 비밀번호와 자격증명을 탈취하는 것으로 확인됐다.
마이크로소프트가 깃허브에 호스팅한 수십 개의 오픈소스 프로젝트가 해킹돼 비밀번호 탈취 악성코드가 삽입되었다. 영향을 받은 프로젝트는 Azure 클라우드 서비스와 Claude Code, Gemini CLI, VS Code 등 AI 개발 도구와 관련된 것들이다. 마이크로소프트는 해당 저장소를 임시로 삭제하고 조사 중이다.
이번 공격은 '공급망 공격'의 일종으로, 널리 사용되는 오픈소스 프로젝트를 표적으로 삼아 많은 사용자에게 악성코드를 유포하는 방식이다. 특히 AI 개발자는 클라우드 시스템과 대량의 고객 데이터에 접근할 수 있어 해커의 주요 표적이 된다. 마이크로소프트는 지난 5월에도 Durable Task 프로젝트가 해킹된 바 있으며, 이번 사건은 해당 프로젝트의 '재침해'일 가능성이 제기된다.
대규모 기술 기업인 마이크로소프트조차 오픈소스 공급망 공격에 취약함을 보여준다. AI 개발 도구의 인기가 높아짐에 따라 관련 생태계를 노린 보안 위협이 증가할 것으로 예상된다. 개발자는 신뢰할 수 있는 출처의 코드라도 항상 검증하고, 보안 도구를 사용해 악성코드 감염 여부를 확인해야 한다.
해당 기사는 마이크로소프트의 오픈소스 도구가 공급망 공격을 통해 AI 개발자들의 비밀번호를 탈취당한 사건을 다루며, HN 커뮤니티는 이를 또 다른 공급망 취약점 사례로 지적했다. 댓글에서는 지나치게 많은 소프트웨어 의존성 자체가 위험 요소이며, 마이크로소프트의 73개 리포지토리가 비활성화된 구체적인 목록이 공유되었다. 일부 사용자는 마이크로서비스와 마이크로라이브러리 유행이 FAANG 개발자들에 의해 무분별하게 확산된 결과라고 비판했다.