피해 저장소 대부분이 Azure 관련 도구와 AI 코딩 앱용 패키지인데요, Claude Code·Gemini CLI·VS Code 사용자가 감염된 파일을 열었을 때 자격증명이 빠져나가는 구조였어요

마이크로소프트 GitHub 저장소 70여 개가 해킹당해 비밀번호 탈취 악성코드가 심어진 사실이 밝혀졌어요.

피해 저장소 대부분이 Azure 관련 도구와 AI 코딩 앱용 패키지인데요, Claude Code·Gemini CLI·VS Code 사용자가 감염된 파일을 열었을 때 자격증명이 빠져나가는 구조였어요. 보안업체 Cloudsmith와 OpenSourceMalware가 처음 이상 징후를 포착했고, 마이크로소프트는 해당 저장소를 즉시 비공개 처리했어요.

마이크로소프트는 "소수의 고객에게 개별 통보했다"고 밝혔지만, 실제 다운로드 피해 규모는 아직 공개되지 않았어요. 오픈소스 공급망 공격이 AI 개발 환경까지 직접 파고들기 시작했다는 점에서 주목할 필요가 있어요.