AI 코딩 도구가 패키지를 너무 쉽게 추가할 때 생기는 위험
는 코드를 빠르게 만들어 주지만, 를 너무 쉽게 추가하는 문제가 있다. 패키지는 앱에 가져다 쓰는 외부 코드 묶음이다. 어떤 패키지는 괜찮지만, 어떤 패키지는 관리가 끊겼거나 보안 문제가 있거나 설치 과정에서 수상한 동작을 할 수 있다.
이름이 유명 패키지와 비슷한 가짜 패키지일 수도 있고, 작은 기능 하나 때문에 너무 많은 다른 패키지를 함께 끌고 올 수도 있다. 기존 보안 검사는 주로 이미 알려진 취약점인 CVE를 확인하거나, 패키지가 이미 저장소에 들어간 뒤에 실행된다. 문제는 그때가 되면 이미 코드가 패키지에 맞춰 짜였고, 비용이 커진다는 점이다.
Dependency Guardian은 패키지를 추가하기 전에 위험 판단을 먼저 보여 주어 허용, 거절, 더 안전한 대안 찾기를 선택하게 하려는 도구다. 단순히 알려진 취약점 목록만 보는 것이 아니라 패키지 코드 자체도 살펴보므로 아직 보고되지 않은 수상한 동작도 잡아내는 것을 목표로 한다.
핵심 포인트
- 가 를 빠르게 추가하면서 검토 부담이 운영자에게 넘어간다.
- 확인해야 할 것은 관리 상태, 보안 문제, , 가짜 패키지 가능성, 불필요하게 큰 의존성이다.
- 기존 보안 검사는 패키지가 이미 들어간 뒤에 실행되는 경우가 많아 결정 시점에는 늦을 수 있다.
- Dependency Guardian은 패키지를 추가하기 전에 위험 판단을 보여 주는 것을 목표로 한다.
- 알려진 CVE뿐 아니라 패키지 코드 자체를 살펴보는 방식도 포함한다.