Red Team vs. the Build Pipeline

빌드 파이프라인을 겨냥한 침투 기법을 시연하는 세션이다

• ReversingLabs의 Kadi McKean과 Safety Cybersecurity의 Juan Aguirre가 CI/CD 파이프라인과 빌드 시스템을 침투하는 과정을 시연한다. stolen secrets, poisoned dependencies, misconfigured runners가 주요 진입점이다.
• Lucija Valentić는 같은 기법을 바탕으로 실제 사례를 설명하며, late 2025에 npm 전반으로 번진 Shai-Hulud worm도 다룬다. 개발 단계의 약점이 배포 체인 전체로 확산되는 구조를 보여준다.
• 이번 데모는 Spectra Assure를 앞세워 소프트웨어 공급망 보안을 시험하는 장면이다. DevSecOps와 AppSec 실무자가 빌드 단계에서 어떤 통제 실패가 침투로 이어지는지 직접 확인하도록 설계됐다.
• 세션은 14-day free trial, late 2025, CI/CD pipeline, npm, Shai-Hulud worm 등 구체 사실로 구성된다. 2명의 발표자와 3가지 침투 경로가 함께 제시돼 공급망 위험을 실증한다.
• 빌드 파이프라인은 코드 저장소보다 더 민감한 실행 구간이라, secrets 탈취와 runner 오작동이 곧 제품 배포로 이어진다. 한국 보안 산업은 이 취약 구간 점검 도구와 교육을 수출 가능한 영역으로 봐야 한다.
• npm형 확산 사례는 협력사와 오픈소스 의존성이 많은 조직에 연쇄 피해를 남긴다. 한국 정부는 공공·민간 조달에서 CI/CD 점검과 의존성 검증을 기본 요건으로 넣을 필요가 있다.

빌드 단계 통제를 소프트웨어 공급망의 핵심 규제로 보고, 공공 조달과 주요 산업망에 CI/CD 보안 점검을 의무화해야 한다. 침투 시연과 실제 사례를 교육·감사 체계로 연결하는 것이 우선이다.

주요 용어: CI/CD(코드 통합·배포 자동화), runner(빌드 작업을 실행하는 에이전트), poisoned dependencies(오염된 외부 의존성)

출처: ReversingLabs