집소프트웨어 공급망 공격으로 litellm 라이브러리가 타격을 입자 AI 커뮤니티가 경악하고 있다
유명 AI 과학자 안드레이 카르파티(Andrej Karpathy)가 최근 AI 소프트웨어 공급망에 대한 표적형 포이즌 공격을 폭로하며, AI 개발자 커뮤니티에 큰 파장을 일으켰습니다. 공격의 표적은 GitHub에서 4만 개 이상의 스타를 기록하고 월간 다운로드 수가 1억 건에 달하는 인기 있는 파이썬 라이브러리 ‘litellm’입니다. 주요 AI 모델 API를 호출하는 범용 어댑터 역할을 하는 이 라이브러리의 보안 침해는 도미노 효과를 일으켜, AI 개발 툴체인 전체에 잠재적인 영향을 미칠 수 있습니다.
설치 시 감염: 악성 코드의 '보이지 않는' 작동 방식
이 공격의 은밀함은 교묘한 트리거에서 비롯됩니다. 악의적인 행위자들은 litellm의 특정 PyPI 릴리스 두 개(버전 1.82.7 및 1.82.8)에 악성 파일을 삽입했습니다. .pth 파일을 삽입했습니다.
자동 실행: 감염된 버전 중 하나를 pip install 이 감염된 버전 중 하나를 설치하기만 해도 모든 Python 프로세스가 시작될 때마다 악성 코드가 자동으로 실행됩니다. 수동으로 import하거나 함수를 호출할 필요도 없습니다. 설치가 완료되는 순간 시스템은 위험에 노출됩니다.
포괄적인 데이터 유출: 일단 활성화되면, 이 코드는 다양한 민감한 호스트 데이터를 적극적으로 수집합니다. 여기에는 SSH 키, 클라우드 인증 정보(AWS/GCP), 쿠버네티스 키, 암호화폐 지갑, 그리고 종종 귀중한 대규모 모델 API 키를 포함하는 모든 환경 변수가 포함됩니다. 탈취된 정보는 암호화되어 공격자의 원격 서버로 전송됩니다.
예상치 못한 반전: "버그"로 인해 발각된 공격자
오랫동안 발견되지 않았을 수도 있는 이 범죄는 해커 자신의 실수로 인해 좌절되었습니다. 한 개발자가 Cursor 에디터의 확장 기능을 사용하던 중 자신의 컴퓨터 메모리 사용량이 갑자기 급증하는 것을 발견했습니다.
조사 결과, 악성 코드가 프로세스 포크 폭탄(fork bomb)을 유발한 것으로 드러났습니다. 이는 지수적으로 복제되어 시스템을 순식간에 다운시키는 현상입니다. 이러한 불안정성은 보안 연구원들이 문제를 악성 패키지로 추적할 수 있게 해준 결정적인 단서가 되었습니다. 카르파티(Karpathy)는 공격자의 코드가 더 능숙하게 작성되었다면, 이 대규모 절도 사건이 여전히 진행 중일 수도 있었을 것이라고 지적했습니다.
연쇄 반응: 보안 도구가 어떻게 "칼을 든 자"가 되었는가
이번 사건은 공급망 실패가 연쇄적으로 이어진 사례를 여실히 보여줍니다. 공격 그룹인 TeamPCP는 먼저 보안 스캐닝 도구인 Trivy를 해킹했습니다. 이들은 탈취한 인증 정보를 이용해 litellm의 릴리스 토큰을 확보하고, 코드 검토 과정을 우회하여 악성 패키지를 PyPI에 직접 업로드했습니다.
파장은 광범위합니다. DSPy, MLflow, Open Interpreter를 포함한 2,000개 이상의 널리 사용되는 AI 도구가 이 라이브러리에 간접적으로 의존하고 있습니다. 보안 전문가들은 개발자들에게 다음 명령어를 실행하여 설치된 버전을 확인하도록 긴급히 권고합니다. pip show litellm. 버전이 1.82.7 이상인 경우, 자격 증명이 완전히 유출된 것으로 간주하고 모든 민감한 키와 토큰을 즉시 교체해야 합니다.
관련 기사
사용자 반발 이후 메타, AI 사진 편집 기능 제거
Meta, the social media giant, is once again embroiled in a public debate regarding the delicate balance between artificial intelligence and user privacy. According to TechCrunch, Meta’s Superintelligence Labs introduced a new AI image generator, Muse
딥마인드 CEO 하사비스: 하루 6시간 수면, 보통 오후 1시경에 활력을 느낍니다
Fortune는 최근 Google DeepMind의 CEO인 데미스 하사비스와의 인터뷰를 소개하며, 그의 비전통적인 휴식 및 생산성 접근 방식을 공개했다. 하사비스는 자신이 매우 적게 잠을 자며, 깨어 있는 시간을 두 개의 명확한 업무 블록으로 구조화한다고 밝혔다.그의 수면 습관에 대해 하사비스는 "6시간을 목표로 하지만, 제 습관은 비정형적입니다. 하루 종일 효과적으로 기능할 수 있습니다."라고 언급했다. 그는 6시간 미만의 수면이 뇌 건강
OpenAI와 Anthropic, 매출 부진 속에서도 시장 점유율 확보 경쟁
최근 OpenAI가 매출 목표를 달성하지 못했다는 보도가 나오면서 이번 주 화요일 기술주에 압박이 가해졌음에도 불구하고, 민간 AI 연구소 투자자들은 여전히 탄탄한 모습을 보이고 있다. 노련한 투자자들은 부정적인 언론 보도에도 불구하고 투자 규모를 줄이지 않을 것이라고 밝혔다.분석가들은 현재의 AI 경쟁이 초기 단계에 불과하다고 보고, “승자 독식” 식의
관련 특별 주제 추천
비디오 제작
릴스, 숏츠 및 제품 출시 캠페인을 위한 AI 단편 동영상 훅 생성기
2026년 최신 최고의 AI 단편 동영상 훅 생성기: 릴스, 숏츠 및 제품 출시 캠페인용! XIX.AI는 실제 테스트를 통해 반드시 시도해 봐야 할 결과를 제공하는, 최고 평점을 받은 강력한 혁신적인 도구들을 엄선합니다. 매주 업데이트되는 이 페이지에서는 무료와 유료 버전의 비교 순위를 제공하여, 콘텐츠 창의성과 생산성을 높일 수 있는 완벽한 솔루션을 찾으실 수 있도록 도와드립니다. 지금 바로 탐색하여 AI의 경쟁력을 확보하세요!
11 도구
xix.ai
글쓰기
장문 작성용 AI 기사 개요 도구
2026년 최신, 최고 평점을 받은 장문 작성을 위한 AI 개요 작성 도구 모음! 이 엄선된 컬렉션은 실제 테스트를 통해 정확하고 체계적인 개요를 제공하여 글쓰기 효율을 획기적으로 높여주는 강력하고 혁신적인 도구들을 소개합니다. XIX.AI도 이 엄선된 목록에 포함되어 있습니다. 무료 버전과 유료 버전을 비교해 보고, 자신에게 딱 맞는 도구를 선택해 보세요. 지금 바로 살펴보고 AI의 힘을 최대한 활용하세요!
9 도구
xix.ai
챗봇
언어 연습, 면접 준비 및 일상 유창성을 위한 최고의 AI 역할극 채팅 앱
2026년 최신 최고 인기 AI 역할극 채팅 앱: 언어 연습, 면접 준비 및 일상 유창성을 위한 최고의 선택! XIX.AI는 무료와 유료 비교, 실제 테스트, 매주 업데이트되는 순위 등을 제공하는 강력한 혁신적인 컬렉션을 엄선합니다. 이 필수 도구들은 글쓰기 실력을 향상시키고, 유창성 관련 어려움을 극복하며, 모든 일상 상황에서 의사소통 효율성을 높이는 데 도움을 줍니다. 지금 바로 탐색하여 언어 성장을 위한 완벽한 도구를 발견하세요!
10 도구
xix.ai
음악 작곡
리믹스 제작, 샘플링 준비, 카라오케 마스터 파일 제작을 위한 AI 스템 분리 도구
2026년 최신형으로 선정된 최고 평점의 AI 스템 분리 도구들은 리믹스 제작, 샘플링 준비, 카라오케 녹음에 특화되어 있습니다. 이 강력하고 혁신적인 도구들은 실제 환경에서의 테스트를 거쳐 정밀한 오디오 분리 기능을 제공함으로써 작업 효율성을 크게 향상시켜 줍니다. XIX.AI는 매주 업데이트되는 무료 버전과 유료 버전의 비교 가이드를 제공하여 사용자의 니즈에 가장 적합한 도구를 찾는 데 도움을 줍니다. 지금 바로 확인하여 AI 기술의 잠재력을 최대한 활용해 보세요.
8 도구
xix.ai
데이터 분석
수익 대시보드, 퍼널 분석, 그리고 제품 지표를 위한 AI SQL 코파일럿
2026년 최신 최고의 AI SQL 코파일럿들이 최상위 순위에 올랐습니다! XIX.AI는 매주 업데이트되는 실제 환경 테스트를 위해 강력하고 혁신적인 도구들을 선별하여 제공합니다. 반드시 사용해 보아야 할 이 도구들은 정확한 수익 대시보드를 생성하고, 판매 과정을 분석하며, 제품 관련 지표를 신속하게 추적할 수 있도록 도와 생산성을 크게 향상시켜 줍니다. 데이터 기반 의사결정을 위한 완벽한 도구를 찾아보세요! 238자
9 도구
xix.ai
음악 작곡
노래 초안을 위한 최고의 AI 멜로디 작곡 도구
2026년 최신 최고 인기 AI 멜로디 작곡 도구! XIX.AI는 엄격한 실전 테스트를 거쳐 최고의 작곡 경험을 제공하는 강력한 게임 체인저 컬렉션을 엄선했습니다. 무료와 유료 버전의 상세 비교, 정확한 순위, 그리고 놀라운 노래 초안을 손쉽게 만들고 창의적 생산성을 크게 높일 수 있는 필수 추천 옵션들을 확인할 수 있습니다. 지금 바로 탐색하여 완벽한 도구를 발견하세요!
8 도구
xix.ai
의견 (0)
0/500
유명 AI 과학자 안드레이 카르파티(Andrej Karpathy)가 최근 AI 소프트웨어 공급망에 대한 표적형 포이즌 공격을 폭로하며, AI 개발자 커뮤니티에 큰 파장을 일으켰습니다. 공격의 표적은 GitHub에서 4만 개 이상의 스타를 기록하고 월간 다운로드 수가 1억 건에 달하는 인기 있는 파이썬 라이브러리 ‘litellm’입니다. 주요 AI 모델 API를 호출하는 범용 어댑터 역할을 하는 이 라이브러리의 보안 침해는 도미노 효과를 일으켜, AI 개발 툴체인 전체에 잠재적인 영향을 미칠 수 있습니다.
설치 시 감염: 악성 코드의 '보이지 않는' 작동 방식
이 공격의 은밀함은 교묘한 트리거에서 비롯됩니다. 악의적인 행위자들은 litellm의 특정 PyPI 릴리스 두 개(버전 1.82.7 및 1.82.8)에 악성 파일을 삽입했습니다. .pth 파일을 삽입했습니다.
자동 실행: 감염된 버전 중 하나를 pip install 이 감염된 버전 중 하나를 설치하기만 해도 모든 Python 프로세스가 시작될 때마다 악성 코드가 자동으로 실행됩니다. 수동으로 import하거나 함수를 호출할 필요도 없습니다. 설치가 완료되는 순간 시스템은 위험에 노출됩니다.
포괄적인 데이터 유출: 일단 활성화되면, 이 코드는 다양한 민감한 호스트 데이터를 적극적으로 수집합니다. 여기에는 SSH 키, 클라우드 인증 정보(AWS/GCP), 쿠버네티스 키, 암호화폐 지갑, 그리고 종종 귀중한 대규모 모델 API 키를 포함하는 모든 환경 변수가 포함됩니다. 탈취된 정보는 암호화되어 공격자의 원격 서버로 전송됩니다.
예상치 못한 반전: "버그"로 인해 발각된 공격자
오랫동안 발견되지 않았을 수도 있는 이 범죄는 해커 자신의 실수로 인해 좌절되었습니다. 한 개발자가 Cursor 에디터의 확장 기능을 사용하던 중 자신의 컴퓨터 메모리 사용량이 갑자기 급증하는 것을 발견했습니다.
조사 결과, 악성 코드가 프로세스 포크 폭탄(fork bomb)을 유발한 것으로 드러났습니다. 이는 지수적으로 복제되어 시스템을 순식간에 다운시키는 현상입니다. 이러한 불안정성은 보안 연구원들이 문제를 악성 패키지로 추적할 수 있게 해준 결정적인 단서가 되었습니다. 카르파티(Karpathy)는 공격자의 코드가 더 능숙하게 작성되었다면, 이 대규모 절도 사건이 여전히 진행 중일 수도 있었을 것이라고 지적했습니다.
연쇄 반응: 보안 도구가 어떻게 "칼을 든 자"가 되었는가
이번 사건은 공급망 실패가 연쇄적으로 이어진 사례를 여실히 보여줍니다. 공격 그룹인 TeamPCP는 먼저 보안 스캐닝 도구인 Trivy를 해킹했습니다. 이들은 탈취한 인증 정보를 이용해
파장은 광범위합니다. DSPy, MLflow, Open Interpreter를 포함한 2,000개 이상의 널리 사용되는 AI 도구가 이 라이브러리에 간접적으로 의존하고 있습니다. 보안 전문가들은 개발자들에게 다음 명령어를 실행하여 설치된 버전을 확인하도록 긴급히 권고합니다. pip show litellm. 버전이 1.82.7 이상인 경우, 자격 증명이 완전히 유출된 것으로 간주하고 모든 민감한 키와 토큰을 즉시 교체해야 합니다.
사용자 반발 이후 메타, AI 사진 편집 기능 제거
Meta, the social media giant, is once again embroiled in a public debate regarding the delicate balance between artificial intelligence and user privacy. According to TechCrunch, Meta’s Superintelligence Labs introduced a new AI image generator, Muse
딥마인드 CEO 하사비스: 하루 6시간 수면, 보통 오후 1시경에 활력을 느낍니다
Fortune는 최근 Google DeepMind의 CEO인 데미스 하사비스와의 인터뷰를 소개하며, 그의 비전통적인 휴식 및 생산성 접근 방식을 공개했다. 하사비스는 자신이 매우 적게 잠을 자며, 깨어 있는 시간을 두 개의 명확한 업무 블록으로 구조화한다고 밝혔다.그의 수면 습관에 대해 하사비스는 "6시간을 목표로 하지만, 제 습관은 비정형적입니다. 하루 종일 효과적으로 기능할 수 있습니다."라고 언급했다. 그는 6시간 미만의 수면이 뇌 건강
OpenAI와 Anthropic, 매출 부진 속에서도 시장 점유율 확보 경쟁
최근 OpenAI가 매출 목표를 달성하지 못했다는 보도가 나오면서 이번 주 화요일 기술주에 압박이 가해졌음에도 불구하고, 민간 AI 연구소 투자자들은 여전히 탄탄한 모습을 보이고 있다. 노련한 투자자들은 부정적인 언론 보도에도 불구하고 투자 규모를 줄이지 않을 것이라고 밝혔다.분석가들은 현재의 AI 경쟁이 초기 단계에 불과하다고 보고, “승자 독식” 식의
2026년 최신 최고의 AI 단편 동영상 훅 생성기: 릴스, 숏츠 및 제품 출시 캠페인용! XIX.AI는 실제 테스트를 통해 반드시 시도해 봐야 할 결과를 제공하는, 최고 평점을 받은 강력한 혁신적인 도구들을 엄선합니다. 매주 업데이트되는 이 페이지에서는 무료와 유료 버전의 비교 순위를 제공하여, 콘텐츠 창의성과 생산성을 높일 수 있는 완벽한 솔루션을 찾으실 수 있도록 도와드립니다. 지금 바로 탐색하여 AI의 경쟁력을 확보하세요!
11 도구
xix.ai
2026년 최신, 최고 평점을 받은 장문 작성을 위한 AI 개요 작성 도구 모음! 이 엄선된 컬렉션은 실제 테스트를 통해 정확하고 체계적인 개요를 제공하여 글쓰기 효율을 획기적으로 높여주는 강력하고 혁신적인 도구들을 소개합니다. XIX.AI도 이 엄선된 목록에 포함되어 있습니다. 무료 버전과 유료 버전을 비교해 보고, 자신에게 딱 맞는 도구를 선택해 보세요. 지금 바로 살펴보고 AI의 힘을 최대한 활용하세요!
9 도구
xix.ai
2026년 최신 최고 인기 AI 역할극 채팅 앱: 언어 연습, 면접 준비 및 일상 유창성을 위한 최고의 선택! XIX.AI는 무료와 유료 비교, 실제 테스트, 매주 업데이트되는 순위 등을 제공하는 강력한 혁신적인 컬렉션을 엄선합니다. 이 필수 도구들은 글쓰기 실력을 향상시키고, 유창성 관련 어려움을 극복하며, 모든 일상 상황에서 의사소통 효율성을 높이는 데 도움을 줍니다. 지금 바로 탐색하여 언어 성장을 위한 완벽한 도구를 발견하세요!
10 도구
xix.ai
2026년 최신형으로 선정된 최고 평점의 AI 스템 분리 도구들은 리믹스 제작, 샘플링 준비, 카라오케 녹음에 특화되어 있습니다. 이 강력하고 혁신적인 도구들은 실제 환경에서의 테스트를 거쳐 정밀한 오디오 분리 기능을 제공함으로써 작업 효율성을 크게 향상시켜 줍니다. XIX.AI는 매주 업데이트되는 무료 버전과 유료 버전의 비교 가이드를 제공하여 사용자의 니즈에 가장 적합한 도구를 찾는 데 도움을 줍니다. 지금 바로 확인하여 AI 기술의 잠재력을 최대한 활용해 보세요.
8 도구
xix.ai
2026년 최신 최고의 AI SQL 코파일럿들이 최상위 순위에 올랐습니다! XIX.AI는 매주 업데이트되는 실제 환경 테스트를 위해 강력하고 혁신적인 도구들을 선별하여 제공합니다. 반드시 사용해 보아야 할 이 도구들은 정확한 수익 대시보드를 생성하고, 판매 과정을 분석하며, 제품 관련 지표를 신속하게 추적할 수 있도록 도와 생산성을 크게 향상시켜 줍니다. 데이터 기반 의사결정을 위한 완벽한 도구를 찾아보세요! 238자
9 도구
xix.ai
2026년 최신 최고 인기 AI 멜로디 작곡 도구! XIX.AI는 엄격한 실전 테스트를 거쳐 최고의 작곡 경험을 제공하는 강력한 게임 체인저 컬렉션을 엄선했습니다. 무료와 유료 버전의 상세 비교, 정확한 순위, 그리고 놀라운 노래 초안을 손쉽게 만들고 창의적 생산성을 크게 높일 수 있는 필수 추천 옵션들을 확인할 수 있습니다. 지금 바로 탐색하여 완벽한 도구를 발견하세요!
8 도구
xix.ai
