무슨 일이 있었나
2026년 5월, AI 분야에서 인기 있는 Python 패키지 2개가 악성 코드가 담긴 채 PyPI에 게시됐습니다.
- guardrails-ai 0.10.1: 5월 11일(태평양 시간 오후 6시경) 게시. 연구자들이 약 2시간 만에 탐지했고 PyPI가 격리했습니다. CVE-2026-45758(CVSS 9.6) 이 부여됐습니다.
- mistralai 2.4.6: Mistral AI의 공식 Python SDK로, 권고 GHSA-wx9m-wx4f-4cmg에 따르면 5월 12일(UTC 00:05)부터 배포됐습니다. 716개 패키지가 이에 의존합니다.
둘 다 공급망 공격입니다. GitHub의 정상 코드는 바뀌지 않았지만, 누군가 변조된 버전을 PyPI에 올렸습니다.
악성 코드의 동작
- mistralai 2.4.6: Linux에서
import mistralai만 실행해도 고정 IP에서 2단계 페이로드(transformers.pyz)를 TLS 검증 없이, 출력 없이 내려받아 백그라운드로 실행했습니다. 권고에 따르면 이 게시는 PyPI Trusted Publishing을 우회했고 GitHub에 대응 태그도 없었습니다. 분석은 "mini-shai-hulud" 캠페인과 연관 짓습니다. - guardrails-ai 0.10.1: 설치나 import 시 코드가 실행돼 호스트에서 임의 코드 실행이 가능했습니다. 관리자들은 자사 시스템을 통한 유출은 보지 못했다고 했지만, 해당 기기의 자격 증명은 노출된 것으로 간주하라고 권고했습니다.
대응
- 개발 PC, CI/CD, 서버, 노트북 등에서 mistralai 2.4.6이나 guardrails-ai 0.10.1을 설치했는지 확인하세요.
- mistralai: 2.4.5로 고정하거나 검증된 태그에서 설치하세요.
/tmp/transformers.pyz가 있는지 확인하세요. - guardrails-ai: 0.10.2로 업데이트하거나 0.10.0으로 되돌리세요.
- 영향받은 기기에서는 GitHub 토큰, 클라우드 키, 패키지 레지스트리 토큰, LLM API 키 등 접근 가능한 모든 자격 증명을 교체하세요. GitHub에 수상한 워크플로나 저장소가 생겼는지도 확인하세요.
- 앞으로는 버전을 고정(해시 포함 lockfile)하고 파이프라인에서 버전 없는
pip install을 피하세요.
왜 중요한가
AI 프로젝트에는 API 키, 클라우드 자격 증명, 학습 데이터가 몰려 있습니다. CI 파이프라인의 import 한 번으로 이 모든 것이 공격자에게 넘어갈 수 있습니다.
출처
- AI Threat Alert, GHSA-wx9m-wx4f-4cmg (mistralai 2.4.6): https://aithreatalert.com/cve/GHSA-wx9m-wx4f-4cmg
- OpenCVE, CVE-2026-45758 (guardrails-ai 0.10.1): https://app.opencve.io/cve/CVE-2026-45758
AI 프로젝트의 공급망 보안을 점검하고 싶으신가요? KGA IT는 무료 상담을 제공합니다: kga-it.com