NPM/PyPI, 안전한가? 소스 코드 기반 빌드의 중요성

SLSA 및 PEP 740과 같은 인증(Attestation)은 패키지가 신뢰할 수 있는 공급자에 의해 특정 소스 커밋에서 빌드되었음을 보증한다. 하지만, 런너 이미지 및 빌드 시 다운로드되는 파일은 고정되지 않아, 여전히 취약점이 존재한다. Git Submodule을 사용하거나, Nix/Guix와 같은 시스템을 통해 빌드 환경 및 네이티브 런타임 종속성(Native Runtime Dependencies)을 고정하는 방법이 제안된다.

소스 코드 기반 빌드는 공격 표면(Attack Surface)을 소스 코드 수준으로 제한하여, AI 코드 리뷰와 같은 자동화된 탐지를 가능하게 한다. 하지만, CUDA 라이브러리, MacOS 도구, 컴파일러 등 부트스트랩(Bootstrap)이 어려운 경우도 존재한다. pip install --no-binary :all: 명령어를 통해 소스 배포판을 사용하는 방법도 제시되었으며, Guix는 2023년에, Nix는 현재 풀 소스 부트스트랩(Full-Source Bootstrap)을 완료하는 단계에 있다.