SentinelOne, LiteLLM 공급망 공격 실시간 차단 및 Axios·Chrome 보안 위협 보고

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

SentinelOne의 Singularity 플랫폼이 LiteLLM 라이브러리를 변조한 정교한 공급망 공격을 실시간으로 탐지하고 차단했다. 공격자는 탈취한 PyPi 자격 증명을 사용해 악성 페이로드를 배포했으나, 행동 기반 AI가 44초 이내에 프로세스 체인을 종료하며 피해를 방지했다. 동시에 인기 JavaScript 라이브러리인 Axios에서도 npm 계정 탈취를 통한 원격 제어 트로이 목마(RAT) 유포 사례가 발견되어 버전 다운그레이드가 권고되고 있다. 또한 Chrome의 Dawn 구성 요소에서 발생한 고위험 제로데이 취약점(CVE-2026-5281)이 실제 공격에 악용되고 있어 즉각적인 브라우저 업데이트가 필요하다.

배경

공급망 공격(Supply Chain Attack)의 기본 개념, npm 및 PyPi 패키지 관리 시스템에 대한 이해, EDR(Endpoint Detection and Response)의 작동 원리

대상 독자

보안 운영자(SOC), 소프트웨어 개발자 및 인프라 관리자

의미 / 영향

AI 모델 호출을 위한 프록시 도구와 널리 사용되는 HTTP 클라이언트가 공격 대상이 됨에 따라, 개발 환경의 공급망 보안이 기업 보안의 핵심 과제로 부상했다. 특히 AI 에이전트가 권한 제한 없이 패키지를 설치하는 환경은 새로운 공격 표면이 되고 있으며, 이에 대응하기 위한 자율형 AI 보안 솔루션의 중요성이 커지고 있다.

섹션별 상세

공격자가 PyPi 자격 증명을 탈취해 LiteLLM의 악성 버전을 게시하고 크로스 플랫폼 페이로드를 배포했다. SentinelOne의 행동 기반 AI는 서명이나 수동 개입 없이 베이스64 디코딩 페이로드와 같은 의심스러운 실행 패턴을 감지했다. 탐지 후 44초 만에 전체 프로세스 체인을 종료함으로써 데이터 유출 및 Kubernetes 클러스터로의 측면 이동 시도를 무력화했다. 이는 AI 기반 공격에 대응하기 위해 자율적인 행동 분석 시스템이 필수적임을 보여준다.

LiteLLM 공급망 공격에 대한 SentinelOne의 실시간 완화 흐름도이다. — Diagram공격자가 악성 LiteLLM 버전을 배포했을 때, SentinelOne 플랫폼이 행동 분석을 통해 악성 페이로드 실행을 감지하고 44초 만에 프로세스를 종료하는 과정을 시각화했다. 이는 서명 기반 탐지가 아닌 런타임 행동 분석의 효과를 입증한다.

Axios 버전 1.14.1 및 0.30.4에서 코어 유지 관리자의 npm 계정 탈취를 통해 삽입된 악성 의존성이 발견됐다. 해당 악성 패키지는 설치 후 스크립트를 통해 macOS, Windows, Linux용 원격 제어 트로이 목마(RAT)를 다운로드하고 실행한다. 공격은 고도로 조정되어 각 플랫폼에 맞춘 C++, PowerShell, Python 변종을 사용하며 시스템 정찰 및 데이터 탈취를 수행한다. 사용자는 즉시 안전한 버전(1.14.0 또는 0.30.3)으로 다운그레이드하고 관련 자격 증명을 교체해야 한다.

Axios 공급망 공격의 단계별 작동 방식을 설명하는 다이어그램이다. — Diagramnpm 패키지 설치부터 postinstall 후크 실행, C2 서버 연결을 통한 플랫폼별 RAT 다운로드, 그리고 흔적을 지우기 위한 자가 삭제 및 정상 파일 복구 과정을 상세히 보여준다. 공격의 은밀함과 정교함을 이해하는 데 핵심적인 정보를 제공한다.

Chrome 브라우저의 WebGPU 표준 구현체인 Dawn에서 'use-after-free' 버그(CVE-2026-5281)가 발견되어 실제 공격에 악용 중이다. 이 취약점은 렌더러 프로세스가 침해된 상태에서 특수하게 제작된 HTML 페이지를 통해 임의 코드를 실행할 수 있게 한다. Google은 기술적 세부 사항을 비공개로 유지한 채 긴급 보안 업데이트를 출시했으며, 이는 2026년 들어 네 번째로 발견된 활성 악용 제로데이이다. 모든 Chromium 기반 브라우저 사용자는 최신 버전으로 업데이트하여 메모리 손상 및 원격 코드 실행 위험을 방지해야 한다.

실무 Takeaway

AI 라이브러리(LiteLLM)와 개발 도구(Axios)를 겨냥한 공급망 공격이 증가하고 있으므로, 패키지 설치 시 행동 기반 보안 솔루션을 통한 실시간 모니터링이 필수적이다.
Axios의 특정 버전(1.14.1, 0.30.4) 사용자는 즉시 하위 버전으로 롤백하고, npm 액세스 토큰 유출 여부를 점검하여 추가 침해를 예방해야 한다.
Chrome 및 Edge 등 Chromium 브라우저의 제로데이 취약점(CVE-2026-5281) 대응을 위해 즉각적인 패치 적용과 자동 업데이트 활성화를 권장한다.

언급된 리소스

문서SentinelOne Singularity Platform

문서CVE-2026-5281 Detail