Ward: Claude Code 사용자를 위한 공급망 공격 차단을 위해 npm 설치를 가로채는 오픈소스 도구
Ward는 [email protected] 침해 사건 이후 Vanguard Defense Solutions가 개발한 오픈소스 보안 도구입니다. 이 도구는 패키지 관리자에 연결되어 설치 스크립트가 실행되기 전에 모든 패키지를 검사합니다.
Claude Code가 사용자를 대신해 npm install을 실행할 때, Ward는 자동으로 패키지를 검사합니다. 이 도구에는 모든 설치 명령어를 실행 전에 가로채는 Claude Code 훅이 포함되어 있어 수동 개입이 필요하지 않습니다.
주요 기능
- 알려진 악성 패키지 차단
- 타이포스쿼팅 탐지 ("axxios"와 같은 패키지가 "axios"와 같은 합법적인 패키지와 유사할 때 경고)
- 의심스러운 설치 스크립트 플래그 지정
- 버전 이상 징후 식별
- 42개의 검증된 실제 공격 패턴 포함
예시 출력
$ npm install [email protected]
✗ ward: 차단됨
이 버전은 SSH 키와 클라우드 자격 증명을 탈취합니다
안전한 버전: 1.14.0설치 방법
npm install -g wardshield
ward init이 도구는 MIT 라이선스로 제공되며 286개의 테스트를 포함하고 있습니다. 공급망 공격 우려에 따라 Claude Code 커뮤니티를 위해 특별히 개발되었습니다.
추가 리소스로는 wardshield.com의 실시간 위협 피드와 Vanguard-Defense-Solutions/ward의 GitHub 저장소가 있습니다.
📖 Read the full source: r/ClaudeAI
👀 See Also
AI 에이전트로 데이터 유출 위험을 줄이는 두 가지 접근법
레딧 게시물은 개발자들이 AI 에이전트 데이터의 처리 방식을 통제할 수 있는 두 가지 방법을 설명합니다: OpenAI나 Anthropic 같은 제공업체와 직접 API 키를 사용하여 중개자를 제거하거나, Ollama와 OpenClaw 같은 도구를 사용해 오픈소스 모델을 로컬에서 실행하는 방법입니다.
MCP 서버 신뢰성 및 보안 결과에 대한 독립 보고서
2,181개 MCP 서버 엔드포인트에 대한 독립적인 분석 결과, 52%가 작동하지 않으며, 300개는 인증이 전혀 없고, 51%는 CORS 설정이 완전히 개방되어 있음이 밝혀졌습니다. 이 보고서에는 분석 방법론과 테스트 도구가 포함되어 있습니다.
엔도 패밀리어: AI 에이전트를 위한 객체-역량 샌드박스
Endo Familiar는 AI 에이전트를 위한 객체-권한 보안을 구현합니다: 에이전트는 초기에 아무런 권한도 없이 시작되며, 특정 파일이나 디렉토리에 대한 명시적 참조만 받고, 샌드박스 코드에서 더 좁은 권한을 파생할 수 있습니다.
사랑스러운 데모용 에듀테크 앱에서 노출된 보안 취약점
보안 연구원이 Lovable에서 성공 사례로 소개된 교육 기술(EdTech) 애플리케이션에서 여러 치명적인 취약점을 발견했습니다. 이 앱은 인증 없이 18,697명의 사용자 기록을 노출하는 심각한 인증 논리 결함을 포함해 16개의 취약점이 있었습니다. Lovable 쇼케이스에서 10만 회 이상 조회되었으며 UC 버클리, UC 데이비스 및 전 세계 학교의 실제 사용자를 보유하고 있었습니다.