오픈AI, npm 공급망 공격 노출: 맥 사용자 대상 필수 업데이트 공지

AI 기업을 노리는 해커라고 하면 대개 미공개 모델 가중치나 사용자의 민감한 대화 기록을 훔치려 할 것이라 생각하기 쉽습니다. 하지만 실제 공격은 훨씬 현실적이었습니다. 개발자들이 흔히 쓰는 오픈소스 라이브러리에 악성코드를 심어 서명 키를 탈취하는 방식이었습니다.

OpenAI는 2026년 5월 11일 사내 직원 기기 두 대가 침해 사고를 겪었다고 밝혔습니다. 널리 쓰이는 프론트엔드 오픈소스 패키지 TanStack npm을 겨냥한 Mini Shai-Hulud 공급망 공격에 노출된 탓입니다.

인증 키는 유출됐지만 잠금장치는 버텼다

공격자는 감염된 기기를 통해 내부 소스코드 저장소 일부에 접근했고, macOS, iOS, Windows, Android 애플리케이션용 코드 서명 인증서를 포함한 일부 자격 증명을 유출했습니다.

코드 서명 키는 운영체제에 해당 앱이 OpenAI가 공식 배포한 정품임을 증명하는 일종의 신분증입니다. 이 키가 악용되면 공식 프로그램을 가장한 악성 소프트웨어가 유포될 위험이 있습니다.

다만 포렌식 조사 결과 사용자 데이터, 계정 비밀번호, API 키, 핵심 모델 자산에는 어떠한 침해도 없었습니다. 탈취된 인증서로 서명된 악성 소프트웨어나 변조된 프로그램 역시 발견되지 않았습니다.

OpenAI는 예방 차원에서 인증서를 전면 교체하고 있습니다. Windows나 iOS 사용자는 별도 조치가 필요 없지만, Mac 사용자는 업데이트 기한을 반드시 챙겨야 합니다.

당초 제시된 마감일은 6월 12일이었으나, Apple과의 조율을 거쳐 2026년 6월 26일로 연장되었습니다. ChatGPT Desktop, Codex App, Codex CLI, Atlas를 사용하는 Mac 이용자는 기한 내에 새 버전으로 올리지 않으면 구형 인증서가 완전 폐기되면서 앱이 실행되지 않습니다.

보안 강화 배포 중에 발생한 빈틈

이번 사고의 배경에는 아쉬운 타이밍이 있었습니다. OpenAI는 이전 Axios 관련 보안 사고 이후, 출시된 지 얼마 되지 않은 의심 패키지 설치를 차단하는 등 공급망 방어 체계를 강화하고 있었습니다.

문제는 이 보안 정책이 전사 기기에 순차적으로 적용되는 중이었다는 점입니다. 공교롭게도 감염된 두 대의 기기는 아직 새 정책을 적용받지 못한 상태였고, 그 틈에 악성 패키지가 다운로드되었습니다.

OpenAI는 전 세계 사용자의 Mac 앱이 갑자기 멈추는 사태를 막기 위해 기존 인증서를 즉시 무효화하지 않았습니다. 대신 Apple과 협력해 기존 키를 이용한 신규 공증(Notarization)을 먼저 차단함으로써, 가짜 앱 유포는 막고 정식 사용자에게는 업데이트 유예 기간을 벌어주었습니다.

왜 중요한가

Mac 환경에서 ChatGPT나 Codex를 사용하는 분들은 6월 26일 전까지 앱 내 업데이트를 마쳐야 합니다. 인증서 교체 시기에는 이를 사칭한 가짜 설치 파일이 나돌 수 있으므로, 웹 링크나 메일이 아닌 앱 자체 업데이트 기능만 이용해야 합니다.

업계 전반으로 보면, 아무리 뛰어난 기술력을 가진 빅테크라도 오픈소스 공급망이라는 거대한 생태계 앞에서는 취약할 수밖에 없음을 다시 보여줬습니다. 클라우드 본진을 직접 뚫지 않더라도, 개발 도구에 포함된 작은 패키지 하나로 사내 핵심 자격 증명을 빼낼 수 있기 때문입니다.

우리는 OpenAI의 사고 수습 방식 자체는 영리했다고 봅니다. 인증서를 즉각 폐기해 대규모 혼란을 일으키는 대신, 플랫폼 홀더인 Apple과 공조해 공증 창구를 닫아 위험을 격리하면서 점진적인 이전을 유도했습니다.

하지만 보안 정책의 단계적 롤아웃이 결과적으로 침투의 빌미가 되었다는 점은 뼈아픕니다. 엔드포인트 보안에 단 며칠의 시차가 발생하는 것만으로도 언제든 공급망 공격의 먹잇감이 될 수 있다는 점을 입증한 셈입니다.