공식 이름의 확장에 백도어가 섞였다: Cursor 설치 경로를 확인해야 할 때
Cursor 마켓플레이스의 Claude Code 확장 두 버전에 원격 접속용 악성 코드가 섞였습니다. 영향받은 배포 범위와 확장 삭제 뒤에도 확인해야 할 인증 키·자동 실행 흔적을 정리합니다.
주제
자격증명관리
자격증명관리 관련 글을 모았습니다. 유토모 테크로그에서 새 기술과 제품이 일과 제품에 만드는 변화를 살펴봅니다.
AI가 만들라고 한 .env, 이 파일은 뭘까?
.env는 비밀을 지키는 파일이 아니라 코드에서 떼어놓는 파일이다. 떼어놓은 비밀이 새는 네 가지 길과 막는 법.
공개 컨테이너 이미지 한 장이 저장소 관리자 권한으로 이어질 때 운영팀이 점검할 배포 비밀 (Baseten)
공개 Harbor 이미지의 빌드 이력에서 유효한 GitHub 토큰이 발견된 Baseten 사례를 바탕으로, 운영팀이 점검할 레지스트리·이미지·권한 관리 순서를 정리합니다.
비밀번호 관리자를 바꿀 때, 파일 내보내기 없이 자격증명을 옮기는 방법
iPhone과 iPad의 지원 비밀번호 관리자는 중간 CSV 파일 없이 자격증명을 직접 이전할 수 있습니다. 새 앱을 AutoFill 기준으로 정착시키고 옛 앱을 백업으로 남기는 순서를 설명합니다.
보안 검사를 통과한 CI/CD 취약점을 AI 에이전트가 닷새 만에 스스로 뚫었다, Snowflake Jira 침해와 Copilot 저자 논란
보안 회사 Wiz의 자율 에이전트가 Snowflake의 GitHub 워크플로 취약점을 닷새 만에 찾아 내부 Jira 접근 토큰을 탈취했습니다. 취약점을 만든 코드가 AI 작성이라는 최초 주장은 공개 당일 정정됐습니다.
AI 보조 공격에 대비해 공공기관 보안팀이 바꿔야 할 점
대만 정부기관을 겨냥한 AI 보조 공격 보도를 바탕으로, 공공기관 보안팀이 탐지·권한·기관 간 공유 절차를 어떻게 바꿔야 하는지 정리했습니다.
AI 에이전트에 권한을 줄 때, 도구 연결보다 먼저 세워야 할 경계
DoorDash의 Agent Gateway 사례는 AI 에이전트의 도구 권한을 연결 단계가 아니라 호출자·도구 표면·자격증명·감사 경계에서 설계하는 방법을 보여 줍니다.
Framework의 Metabase 0-day 침해가 보여 준 분석 도구 보안의 빈틈
Framework의 Metabase 분석 데이터베이스 침해는 대시보드가 고객 식별 정보를 모으는 별도 공격 표면임을 보여 줬습니다. 필요한 열만 전달하는 데이터 최소화와 침해 뒤 피싱 대응 흐름을 정리합니다.
Canva가 수억 사용자 세션을 즉시 무효화하는 방법
Canva는 수백 개 게이트웨이가 MySQL에서 세션 무효화 목록을 동시에 읽던 배포 병목을, 30분 단위 S3 이진 청크와 조건부 쓰기로 바꿨습니다.
WebKit의 IP·DNS 누출이 프록시 브라우저에 남긴 경계
WebKit의 DNS 사전 조회·WebAuthn·WebTransport가 앱 프록시와 iCloud Private Relay의 경계 밖에서 연결을 만들 수 있다는 Mysk의 분석을 정리합니다.
Tailscale은 Hugging Face 침입을 막지 못했다: 장기 자격 증명이라는 근본 문제
Tailscale은 Hugging Face 침입 사고에서 자사 제품 결함은 없었다면서도, 장기 유효 자격 증명이라는 구조적 문제를 스스로 짚었습니다.
