이거 진짜에요?? 어지럽네 세상🌈🌈

친구비 주면 통과 시켜주나?!🕺

우리 비트 영양제 좀 주세요....😭

🦉Pharos 서클 USDC 및 CCTP 공식 지원 예정

⁉️Pharos란?

- 실물 자산과 기관급 금융 인프라에 특화된 고성능 병렬 L1 체인
- 세계 최대 핀테크 알리페이 출신의 검증된 기술력
- 파편화된 실물 자산을 온체인으로 연결하는 혁신적 생태계

✔️ Pharos 최근 소식

1️⃣서클 USDC & CCTP 공식 지원 예정

- USDC 지원 : USDC는 글로벌 스테이블코인 표준
- CCTP 허브 : CCTP는 체인 간 네이티브 USDC 이동을 지원하는 구조 보다 안전하고 효율적인 자산 이동이 가능해 유동성 허브 역할을 함

2️⃣기업 가치 $1B 유니콘 등극

- 홍콩 상장사 GCL New Energy로부터 전략적 투자 유치를 받음
- 제도권 상장사가 파트너로 선택함 검증된 블록체인 인프라

➕1,000만 달러 규모 생태계 인큐베이터 가동

- Native to Pharos 프로그램으로 전용 개발팀에 130억 규모 지원
- Hack VC, Faction VC 등 글로벌 톱 티어 VC들 대거 참여

유니콘 기업에 올라가버리고 창업진도 짱짱하니 지켜보는 재미가 있겠네욤!

🔗 트윗 보러가기 l 코인니스 뉴스

🔓 AI한테 일시켰다가 전재산 털림 ㅅㄱ

안녕하세요, BQ개발자입니다.

좀 자극적인 제목인데요, 꼭 주의해야할 내용이있어서 가져왔습니다.

Claude Code, Cursor 쓰면서 AI가 알아서 패키지 설치해주는 거 되게 편하잖아요. 최소 1,000개 이상의 기업 SaaS환경에서 SSH 키, 클라우드 토큰, 크립토 지갑, 환경변수 전부 털리는 일이 있었어서 한번 고민해보고자 전달드립니다

📝 litellm은 월 9700만 다운로드짜리 파이썬 패키지예요. AI API 통합할 때 많이 씀.

🤔월 9,700만 다운로드 패키지에 악성 코드가 들어간 방법

공격 흐름:

• 공격자가 litellm 직접 안 건드리고 → litellm 팀이 쓰는 보안 스캐너 Trivy를 먼저 감염
• Trivy는 빌드 파이프라인에서 돌아가는데 거기에 PyPI 배포 자격증명이 있음
• 자격증명 탈취 → 공식 PyPI에 악성 버전 정상 배포
• 악성 코드는 .pth 파일 방식으로 심겨서 → import litellm 안 해도, python 켜지는 순간 자동 실행

결과적으로 Cursor나 Claude Code가 litellm을 의존성으로 끌어오면 → 개발자가 아무것도 안 했어도 실행됨

⚠️ 바이브 코딩이 이걸 왜 더 위험하게 만드는가

AI 에이전트는 개발자의 전체 권한(ambient authority)으로 동작합니다.
개발자가 AWS 접근 권한이 있으면 에이전트도 같은 권한으로 패키지를 설치하고 실행해요.

문제는 이 권한 행사 과정에서 인지적 마찰이 제거된다는 거예요. 개발자가 직접 pip install을 칠 때는 "이 패키지가 맞나?", "이 버전이 검증됐나?"가 자연스럽게 개입되는데, AI가 "이 패키지 설치할까요?"라고 물으면 Yes/No만 남습니다. 반복되면 그마저도 무감각해지고요.


✍️ 개인적으로 생각하는 것

이 사건이 불편한 이유는 "그러면 뭘 조심해야 하는가"에 명확한 답이 없어서인 것 같아요.

공식 PyPI, 다운로드 수, 잘 알려진 패키지 — 이게 안전 기준이 아닐 수 있다는 거잖아요. <- 여기서 먹거리 하나 나올것같아서 파보는 ing

기술적으로는 JIT 권한 발급(태스크별 최소 권한 + 완료 후 폐기), SHA256 해시 기반 의존성 고정, 격리된 샌드박스 환경이 대응책으로 보이는데... 현실에서 얼마나 적용 가능한지는 솔직히 모르겠지만 더 공부해보고 오겠습니다 🔥

---

여러분의 좋아요와 공유는 사랑입니다 😍

#BQ개발자 #AI #바이브코딩 #공급망공격 #보안