쿨다운의 이유: Dependabot이 버전 업데이트 전에 대기하는 이유

2025년 9월, 공격자가 npm 관리자 계정을 탈취해 chalk, debug 등 주간 다운로드 20억 회 이상의 패키지에 악성 코드를 심었다. 독성 버전은 약 2시간 만에 삭제됐지만, 그 사이 자동화 업데이트 도구가 새 버전을 감지해 PR을 열기에는 충분한 시간이었다.

GitHub Advisory Database 기준으로 2025년 5월~2026년 5월 한 해 동안 npm 악성 패키지 어드바이저리가 6,500건 이상 등록됐으며, 하루 평균 18개의 신규 악성 패키지가 목록에 추가된다. Solana web3.js, Axios, ua-parser-js 등 주요 패키지의 침해 사례도 모두 수 시간 내 발견·삭제된 패턴을 보였다.

이에 Dependabot은 보안 외 버전 업데이트에 대해 릴리스 후 최소 3일 대기 후 PR을 생성하는 쿨다운을 기본값으로 설정했다. 3일은 대부분의 단명 악성 버전을 걸러내면서도 의존성 업데이트를 불필요하게 지연시키지 않는 균형점이다. dependabot.yml의 cooldown 옵션으로 기간을 조정할 수 있다.

다만 쿨다운은 빠르게 유포·삭제되는 공격에만 효과적이며, 장기간 잠복하는 백도어나 빌드 시스템 침해에는 대응하지 못한다. 락파일로 의존성 고정, CI에서 설치 스크립트 비활성화, 빌드 파이프라인 토큰 범위 축소 등 다층 방어와 함께 활용해야 한다.