왜 내 패키지 관리자는 여전히 내부의 패키지와 공개 패키지를 혼동하는 걸까요?

대부분의 조직은 npm이나 PyPI의 공개 의존성 외에도 내부 레지스트리에 비공개 패키지를 관리합니다. 빌드 도구가 이름을 확인하는 과정에서, 공격자가 더 높은 버전 번호를 가진 동일한 이름의 패키지를 공개할 경우, 비공개 범위에 대해서는 암호화 기반 네임스페이스 소유권을 강제하는 레지스트리가 없기 때문에 빌드 도구가 이를 감지하지 못한 채 공개 버전을 우선적으로 선택할 수 있습니다. 마이크로소프트는 2026년 5월, 9개의 별도 기업 조직 범위를 표적으로 삼아 이 취약점을 적극적으로 악용하는 33개의 악성 npm 패키지를 문서화했습니다. Orca Security의 보고서에 따르면, 조직의 49%가 이러한 유형의 공격에 취약한 자산을 적어도 하나 이상 보유하고 있는 것으로 나타났습니다. 주요 패키지 생태계 중 어느 곳도 빌드 도구가 선언된 내부 패키지를 가리는 공개 패키지를 거부할 수 있게 해주는 표준을 도입한 곳은 없습니다.