GitHub가 수개월간의 공급망 공격 이후 npm 및 Actions에 대한 규제를 강화하다

GitHub는 최근 몇 달간 npm과 GitHub Actions에 구축한 방어책을 자세히 공개했습니다: 서명된 게시, 강화된 토큰, 강화된 격리. 이는 2025-2026년 공격 물결에 대한 직접적인 대응입니다.

간단히 말해 - GitHub는npm과 GitHub Actions에 몇 달간의 주목받는 공급망 공격 이후 강화 조치를 일괄 배포합니다. 서명된 퍼블리시, 엄격한 토큰 관리, 워크플로우 격리 강화. 게으른 파이프라인에는 고통스러우나 그만한 가치가 있습니다.

배경

npm + GitHub Actions 체인은 JavaScript CI/CD의 대부분을 차지하며, 특히 유지 관리자 토큰 탈취를 통한 표적 공격이 증가하고 있습니다. 두 플랫폼의 소유자인 GitHub은 2026년 7월 28일 "지난 몇 달간 배포된" 변화에 대한 회고 블로그를 게시했습니다. 이 움직임은 더 넓은 접근 강화(2026년 9월 2일부터 모든 커밋 개발자에게 2FA 필수화 - #1400 참조)에도 포함됩니다.

주요 내용

공식 블로그(github.blog/security)에 따르면 방어 조치는 세 가지 축을 중심으로 이루어집니다:

• npm - 서명된 퍼블리시(증명), 토큰 제한, 신속한 토큰 폐기.
• GitHub Actions - 워크플로우 간 격리 강화, 시크릿 관리 강화.
• 이미 프로덕션에서 관찰된 공격 기법에 대한 능동적 대응.

내부 구조

구체적으로, 유지 관리자는 이제 서명된 GitHub Actions 워크플로우에서 서명된 패키지를 퍼블리시할 수 있으며, 검증 가능한 증명을 포함할 수 있습니다. 이는 "저장소 외부에서 서명된 패키지 푸시" 공격 클래스를 차단합니다: 패키지와 원본 커밋 간의 추적 가능성이 감사 가능해집니다.

분석

세 가지 신호를 주목해야 합니다. 첫째, 공격 표면이 저장소에서 파이프라인으로 이동했습니다: 유지 관리자 토큰이나 CI 러너를 탈취하는 것이 이제 코드에 직접 접근하는 것보다 더 큰 영향을 미칩니다. 둘째, GitHub은 부드럽게 움직입니다 - 새로운 규칙이 기존 모델과 공존하며 점진적 마이그레이션으로 갑작스러운 중단은 없습니다. 마지막으로, dominer 플랫폼이 사실상 규범을 강제합니다: GitLab, Bitbucket, Sonatype 생태계는 정렬하거나 기업 신뢰도를 잃게 될 것입니다.

시나리오(12개월)

• 기본 시나리오 - 주요 소비자(은행, 국방 등)가 SBOM에서 증명을 요구하며 계약에 따라 전파됩니다.
• 상승 리스크 - 주요 사고가 새로운 방어책을 우회(잘못 구성된 자체 호스팅 러너 등).
• 실질적 장애 - 유지 관리자 관성: 상위 1000개 패키지의 대부분이 12개월 후에도 서명되지 않음.

실무자 implications

백엔드 리드: GitHub Actions에서 신뢰할 수 있는 퍼블리시 구성, 릴리스 워크플로우에 증명 활성화. 플랫폼 엔지니어: 자체 호스팅 러너 확인(GitHub 호스팅보다 덜 강화된 경우가 많음). CISO: 고객이 요구하기 전에 릴리스 파이프라인에 증명 검증 추가.

주시할 사항

다음 몇 달간 상위 npm 패키지의 증명 카운터, 하드닝 후 첫 번째 문서화된 공격 시도, PyPI와 Cargo의 동일한 모델 정렬 여부.