Keyv 계열 npm 침해가 444개 패키지로 확산된 가운데 GitHub, Bundler, Cloudflare가 package와 agent risk를 줄이는 계층형 방어를 내놓았습니다. 개발자가 바로 활용할 수 있도록 정리했습니다.
Maintainer account 침해로 Keyv와 Cacheable package 계열이 credential-stealing npm worm으로 변했습니다. 8월 5일까지 Aikido는 월간 install 합계 20억 건 이상에 해당하는 444개 package, 1,381개 version이 감염됐다고 보고했습니다. Malicious release는 유효한 GitHub Actions provenance를 포함했고, preinstall에서 Bun을 설치해 npm, GitHub, AWS, Kubernetes, Vault, Stripe, Slack, filesystem secret을 수집한 뒤 탈취한 credential로 확산했습니다.
GitHub는 OpenSSF malicious-package record를 Advisory Database에 가져와 npm, PyPI, Maven, RubyGems, NuGet, Go, crates.io, Composer를 지원합니다. Auto-publish pipeline은 OSV record를 validate하고 GitHub에서 출발해 돌아온 report를 제거하며, batch cap, commit provenance, batch 단위 rollback으로 잘못된 upstream data에 대비합니다. Malware alert는 opt-in입니다.
Bundler 4.0.18은 opt-in cooldown을 bundle lock과 bundle cache로 확장했습니다. Policy 기간보다 새 gem version을 건너뛰고 긴급 security release에는 --cooldown 0을 사용할 수 있습니다. Signed provenance, advisory feed, release-age filter는 서로 다른 위험을 줄이지만 어느 것도 새 artifact를 그 자체로 신뢰할 수 있는 code로 만들지는 않습니다.
Cloudflare private beta인 WriteGuard는 MCP write에 같은 layered thinking을 적용합니다. Central policy가 tool별 risk tier를 지정하고 handler 실행 전에 critical operation을 막으며, human identity를 유지한 채 agent/session attribution을 추가하고 scrubbed asynchronous audit event를 기록합니다. Harness마다 동작이 다르고 사용자가 끌 수 있는 client prompt는 enforcement로 보지 않습니다.
Keyv 계열 version을 찾고 setup.mjs, Math_Symbol.js, math_init.js indicator를 확인한 뒤 clean dependency로 rebuild하고 영향받은 환경의 credential을 rotate하세요.GitHub repository에서 malware alert를 켜고 feed provenance, batch cap, rollback을 나쁜 advisory data에 대한 safeguard로 사용하되 모든 package가 안전하다는 증거로 보지 마세요.공격자는 탈취한 maintainer account로 main에 malicious file을 push하고 유효한 GitHub Actions provenance가 있는 Keyv 계열 package를 배포했습니다. 8월 5일까지 월간 install 20억 건 이상에 해당하는 444개 package, 1,381개 version이 연루됐습니다. preinstall dropper가 Bun을 내려받고 payload가 npm, GitHub, AWS, Kubernetes, Vault, Stripe, Slack, filesystem secret을 수집해 GitHub와 Ethereum에서 찾은 fallback endpoint로 유출했으며 탈취한 npm/GitHub credential로 더 퍼졌습니다.
GitHub는 OpenSSF malicious-packages repository를 ingest해 Advisory Database와 opt-in Dependabot malware alert를 npm, PyPI, Maven, RubyGems, NuGet, Go, crates.io, Composer에 제공합니다. 단일 importer가 OSV record를 validate하고 ecosystem/version 차이와 withdrawal을 normalize하며 origin이 GitHub round trip인 report를 제외합니다. Malware data는 auto-publish되므로 configurable batch cap이 비정상 run 전체를 중단하고 각 record가 upstream commit을 가리키며 잘못된 batch는 하나의 unit으로 rollback할 수 있습니다.
Bundler 4.0.18은 opt-in --cooldown을 bundle lock과 bundle cache에 적용해 6월 release가 놓친 resolution path를 닫았습니다. Gemfile source는 정한 기간보다 새 version을 건너뛰고 긴급 patch는 --cooldown 0으로 허용할 수 있습니다. Filter가 platform이 아니라 gem name/version을 기준으로 삼아 오래된 version 번호 아래 새 platform build로 우회하는 것을 막고 conflicting declaration에는 warning을 냅니다. 기본값은 off이며 registry defense를 대체하지 않습니다.
WriteGuard는 Cloudflare의 MCP tool용 shared enforcement/audit layer입니다. Tool별 설정이 read-only, minimal, contained-write, critical risk를 지정하고 request를 그대로 통과시키거나 agent/session attribution을 더하거나 handler 실행 전에 차단합니다. Downstream action은 employee identity와 permission을 유지하고 asynchronous scrubbed event는 server, tool, risk, outcome, user, client, duration을 기록합니다. Cloudflare는 harness마다 다르고 사용자가 끌 수 있는 client skill/prompt 대신 27개 internal MCP server를 중앙에서 통제합니다.