AI가 추천한 패키지, 설치 전에 정확한 이름부터 확인하세요

레지스트리·프로젝트 공식 문서·배포자를 함께 확인하세요. 존재하는 패키지라고 의도한 프로젝트의 패키지인 것은 아닙니다.

AI가 만든 설치 명령을 실행하기 전에 패키지의 정확한 철자와 scope를 읽고 프로젝트의 공식 설치 안내와 대조하세요. 같은 AI에게 안전하다는 답을 다시 받는 것을 유일한 확인으로 삼지 마세요.

실제로 연구된 실패 유형입니다

USENIX Security 2025 논문은 모델이 생성한 Python·JavaScript 코드에서 존재하지 않는 패키지 추천을 조사했습니다. 확인된 실패 유형의 근거이지, 현재 모든 코딩 도우미의 오류율이나 특정 패키지가 악성이라는 증거는 아닙니다.

읽기 전용 예시로 esbuild 0.25.10의 레지스트리 기록을 조회해 이름·버전·저장소 항목을 확인했습니다. 이 이전 버전은 조회 예시이며 설치 권장이 아닙니다. 실제로 쓰려는 프로젝트와 버전의 정보가 맞는지 대조하세요.

npm의 provenance는 배포된 패키지와 소스·빌드 과정을 연결할 수 있습니다. npm은 악성 코드가 없음을 보장하지는 않는다고 명시합니다. 확인 표시만 보지 말고 연결된 저장소와 정확한 소스 커밋을 살펴보세요.

진행을 멈추고 의도한 의존성을 확인하세요. 제안된 명령을 검토용으로 남겨두고 공식 문서를 대조한 뒤 필요하면 격리된 시험 환경에서 평가하세요. 명령을 실행되게 만들려고 비슷한 이름의 다른 패키지로 바꾸지 마세요.

2026년 10월 13일 발행. 레지스트리 정보만 읽기 전용으로 조회했으며 패키지를 설치하거나 악성 코드를 분석하지 않았습니다. 인용 연구는 2025년 자료입니다.