인공지능이 만드는 위조 패키지 '슬롭스쿼팅'이란

AI 코딩 어시스턴트의 보급이 소프트웨어 개발 현장에 새로운 공급망 위험을 가져오고 있다. '슬롭스쿼팅(Slopsquatting)'이라 불리는 공격 기법이 등장했으며, AI가 생성하는 존재하지 않는 패키지 이름을 악용하여 악성코드를 개발 환경에 혼입시키는 위협이 지적되고 있다.

슬롭스쿼팅이라는 명칭은 'AI 슬롭(AI가 생성하는 저질의 콘텐츠)'과 '타이포스쿼팅'을 결합한 신조어다. 타이포스쿼팅은 인기 있는 패키지의 철자를 약간 잘못된 도메인이나 이름으로 등록하여 입력 실수를 한 사용자를 함정에 빠뜨리는 고전적인 수법으로, 이미 수십 년의 역사를 가지고 있다. 패키지 레지스트리(소프트웨어 배포·관리 서비스) 측도 이 수법에 대한 대책을 거듭해왔다. 하지만 슬롭스쿼팅은 단순한 철자 오류가 아니라 'AI 자신이 그럴듯하게 들리는 허구의 패키지 이름'을 생성한다는 점에서 기존의 방어책이 작동하지 않는다는 문제가 있다.

구체적인 구조는 다음과 같다. 개발자가 AI 어시스턴트에 코드 생성을 요청하면, AI는 때때로 실제로 존재하지 않는 오픈소스 패키지를 추천하곤 한다. 이를 LLM(대규모 언어 모델)의 '할루시네이션(환각)'이라 부른다. 이 단계에서는 아직 해롭지 않지만, 공격자가 그 패키지 이름을 미리 파악하여 같은 이름의 악성코드를 포함한 패키지를 등록해두면, 개발자가 인식하지 못하는 사이에 악의적인 코드가 자신의 프로젝트에 포함되어버린다. AI가 특정한 허구의 패키지 이름을 반복적으로 추천하는 경향이 있기 때문에, 공격자는 어떤 이름을 노려야 할지를 사전에 조사할 수 있다는 점도 문제를 심각하게 만든다.

예를 들어, 기존의 인기 있는 패키지 'cross-env'를 흉내 낸 'crossenv'와 같은 타이포스쿼팅 이름은 레지스트리의 보호 기능에 의해 탐지된다. 반면, AI가 임의로 만들어내는 'cross-env-extended'나 'mpn install cross-env file'과 같은 이름은 기존의 방어 시스템에서는 위협으로 인식되지 않는다. 이러한 맹점이 대규모 침해를 가능하게 하는 토대가 되고 있다.

할루시네이션의 지속성과 심각성을 보여주는 데이터도 보고되고 있다. 어느 연구팀이 10개의 프로그래밍 언어에 걸친 1만 4675개 패키지의 3만 1267건의 취약점을 분석한 결과, 취약점 보고 수가 연간 98%의 속도로 증가하고 있음을 밝혔다. 이는 오픈소스 패키지 수 자체의 연간 증가율(25%)을 훨씬 초과하는 수치다. 더욱이 취약점의 평균 존속 기간이 85% 연장되었으며, 문제가 발견된 후 수정되기까지의 시간이 길어지고 있음도 확인되었다. 악의적인 패키지가 프로덕션 환경에서 수개월에서 수년에 걸쳐 탐지되지 않은 채 방치될 수 있음을 시사하며, 피해가 조용히 확산될 위험이 있다.

이 문제가 가진 의미는 AI 도구의 '편의성'과 '위험'이 표리 일체라는 점에 있다. AI 지원에 의한 코딩은 생산성을 높이는 한편, 개발자가 출력 내용을 그대로 신뢰함으로써 외부로부터의 침입 경로를 스스로 열어버리는 구조적 취약점을 만든다. LLM의 할루시네이션은 원래 '거짓 정보를 사실로서 다루는 위험'으로 알려져 왔으나, 슬롭스쿼팅은 그 특성이 직접적인 보안 취약점으로 전환된 사례로 볼 수 있다.

개발자에게 있어 실천적인 대응으로서는, AI가 제안하는 패키지 이름을 그대로 채용하지 않고 패키지 레지스트리에서 실제 존재 여부를 확인하는 습관이 요구된다. 조직 차원에서는 의존성의 자동 스캔 도구 활용이나 패키지 도입 전 심사 프로세스의 정비가 효과적인 대책으로 위치지어진다. AI 코딩 도구가 개발 현장에 깊이 뿌리내리는 가운데, 이러한 종류의 공격에 대한 경계가 소프트웨어 개발의 표준적 보안 관행으로 통합되어갈지 여부가 향후 주목할 점이 된다.