최근 오픈소스 파이썬 의존성 스캐너 '패키지 닥터(package-doctor)'가 공개되어 개발자들의 주목을 받고 있습니다. 이 도구는 프로젝트에 사용된 파이썬 패키지 중 알려진 보안 취약점(CVE)이 있거나, 2년 이상 업데이트되지 않아 사실상 방치된 패키지를 찾아내 경고합니다. 특히 미국 사이버보안 및 인프라 보안국(CISA)의 '알려진 악용 취약점 목록(Known Exploited Vulnerabilities Catalog)'과 FIRST EPSS(Exploit Prediction Scoring System) 데이터를 활용해 실제 공격에 악용될 가능성이 높은 취약점을 우선순위로 알려주는 것이 특징입니다.
패키지 닥터는 단순히 취약점 유무를 넘어, 해당 패키지가 공격자가 영향을 미칠 수 있는 '신뢰 경계(trust boundary)'에 있는지, 그리고 패치를 담당할 사람이 남아있는지 등 두 가지 핵심 축으로 위험도를 평가합니다. 예를 들어, 공격자가 조작할 수 있는 데이터를 파싱하거나 인증하는 라이브러리가 방치되어 있다면 높은 위험으로 간주하는 식입니다. 또한, 클로드(Claude)와 같은 AI 코딩 에이전트가 위험한 패키지를 설치하려 할 때 이를 차단하고 대안을 찾도록 유도하는 가드레일(guardrail) 기능도 포함되어 있어, 개발 초기 단계부터 보안 리스크를 줄일 수 있도록 돕습니다. 이 도구는 `uv.lock`, `poetry.lock`, `requirements.txt` 등 다양한 파이썬 의존성 파일을 지원하며, CI/CD 환경에서도 쉽게 통합할 수 있습니다.
이러한 기능은 빠르게 변화하는 오픈소스 생태계에서 개발자들이 직면하는 보안 문제에 대한 실질적인 해결책을 제시합니다. 수많은 오픈소스 프로젝트에서 매일 새로운 취약점이 발견되고 있지만, 어떤 취약점을 먼저 해결해야 할지, 그리고 어떤 패키지가 더 이상 관리되지 않아 위험한지 판단하기는 쉽지 않습니다. 패키지 닥터는 이러한 혼란 속에서 개발자가 가장 시급하고 중요한 보안 문제에 집중할 수 있도록 돕고, AI 기반 개발 환경에서도 잠재적 위험을 사전에 차단함으로써 소프트웨어 공급망 보안을 강화하는 데 기여할 것으로 기대됩니다.