JFrog, AI 에이전트 우회 트래픽 차단 위한 ‘Package Traffic Controller’ 공개

AI 코딩 에이전트가 개발 파이프라인을 우회하는 환경에서 JFrog가 네트워크 경계 제어로 소프트웨어 공급망 방어를 시도한다.

• 기업은 그동안 CI/CD 파이프라인과 리포지토리를 통제해 왔지만, AI 코딩 에이전트와 스크립트가 개발자 단말에서 직접 npm·PyPI 패키지를 설치하며 기존 통제 경로를 우회하는 문제가 부각되고 있다.
• JFrog는 SASE 연동형 네트워크 계층 통제 기능인 ‘JFrog Package Traffic Controller’를 도입해 Zscaler·Cloudflare·Netskope 플랫폼과 연계, 공용 패키지 레지스트리 트래픽을 사내 JFrog Artifactory로 우회시키는 구조를 제시한다.
• 지원되는 SASE가 공용 레지스트리로 향하는 요청을 감지하면 이를 Artifactory로 리다이렉트하고, JFrog Curation이 보안·라이선스·품질 정책을 적용해 허용 패키지는 통과시키고 악성·비인가 패키지는 차단 또는 대체 버전 제공까지 수행한다.
• JFrog의 ‘2026 Software Supply Chain Security State of the Union’은 2025년 악성 npm 패키지 171,592건을 탐지해 전년 대비 451% 증가를 제시하고, 설문 응답 기업 중 40%만 악성 패키지 탐지 기능을, 28%만 시크릿 탐지 기능을 갖춘 것으로 분석했다.
• JFrog는 SASE와 Traffic Controller를 결합해 개발자·자동화 도구·AI 에이전트가 어떤 경로로 패키지를 요청하든 네트워크 계층에서 승인된 레지스트리 사용을 강제하고, 모든 패키지 소비를 소프트웨어 공급망 기록으로 남기는 단일 통제 지점을 제안한다.
• AI 에이전트가 할루시네이션한 이름의 라이브러리를 자동 호출할 때 슬롭스쿼팅과 같은 공격이 현실화될 수 있어, 국내도 공공·민간 개발환경에 SASE·승인 레지스트리 연동을 의무화하는 등 AI 기반 개발과 소프트웨어 공급망 보안을 한꺼번에 규율하는 정책 설계가 요구된다.

AI 에이전트 기반 개발 확산을 전제로, 공공·주요 민간 시스템에 네트워크 계층 패키지 검증과 승인 레지스트리 강제를 포함한 소프트웨어 공급망 보안 기준을 조속히 마련할 필요가 있다.

주요 용어: SASE(네트워크와 보안 기능을 통합 제공하는 클라우드 기반 접속 보안 구조), 슬롭스쿼팅(할루시네이션 등으로 생성된 그럴듯한 패키지 이름을 악용해 악성 코드를 유포하는 공격 기법)

출처: dqindia.com