Vercel 공급망 공격을 통해 본 추상화 계층의 보안 리스크와 Threat Model 부재 분석

Context

플랫폼 서비스(PaaS)의 고도화된 추상화로 인해 인프라 및 빌드 파이프라인의 복잡성이 은폐된 구조. 개발자가 제어하지 않는 추상화 계층을 보안 영역에서 제외함으로써 발생한 인식적 태만(Epistemic Negligence)이 핵심 한계점.

Technical Solution

• Build Pipeline 내의 Transitive Trust 모델 분석을 통한 잠재적 공격 벡터 식별
• 빌드 시점에 노출되는 Production Secrets와 Runtime Secrets의 분리 설계를 통한 피해 범위 최소화
• CI 환경 내 npm 패키지 및 postinstall 스크립트의 명시적 감사 체계 도입으로 Supply Chain Attack 대응
• 플랫폼 위임 영역과 자체 제어 영역을 구분한 명시적 Threat Model 문서화 전략 수립
• npm audit의 한계를 인지하고 알려지지 않은 악성 코드 수정을 탐지하기 위한 검증 프로세스 강화