Claude Code Skills for safe PHP and JS package updates

개요

Claude Code Skills는 PHP 및 JavaScript 패키지 업데이트 시 발생할 수 있는 공급망 공격의 위험을 줄이기 위해 자동화된 의존성 관리 규칙을 정의하는 방식이다.

주요 내용

- 의존성 업데이트의 위험성: 패키지 업데이트가 지연된 후 일괄적으로 진행될 때, AI 에이전트가 업데이트를 수행하는 과정에서 공급망 공격과 충돌할 수 있다. 최근 몇 년간 npm과 같은 패키지 생태계에서 여러 보안 사고가 발생했다.
- Claude Code Skills의 개념: Claude Code에서 '스킬'은 마크다운 파일 형태로, 에이전트가 특정 작업을 수행할 때 로드되는 지침을 포함한다. 이를 통해 반복적이고 지치지 않는 방식으로 안전 규칙을 적용할 수 있다.
- package-update-js 및 package-update-php 스킬: TypeScript 및 Laravel PHP 프로젝트를 위한 두 가지 스킬이 개발되었으며, 핵심적인 안전 세계관을 공유한다.
- 주요 안전 규칙:
1. 업데이트 전 조사: 지난 6개월간 발생한 공급망 사고, 타이포스쿼팅 캠페인, 의심스러운 유지보수자 인수 등을 조사하고, 프로젝트의 실제 의존성 목록과 비교하며, 레지스트리 감사(composer audit, npm advisory data)를 실행한다. 모든 패키지에 대해 SAFE, AFFECTED, INVESTIGATE verdicts를 부여한다.
2. 7일간의 격리: 출시된 지 7일 미만인 새 버전을 설치하지 않는다. 이는 많은 악성 릴리스가 짧은 시간 내에 탐지 및 제거되는 패턴을 이용한 것이다. pnpm, Bun 등은 최소 릴리스 연령 설정을 지원하며, Composer의 경우 수동으로 구현된다. CVE를 수정하는 릴리스는 예외적으로 즉시 적용된다.
3. 스크립트 실행 제한: composer update --no-scripts 와 같이 post-install 스크립트가 자동으로 실행되지 않도록 한다. pnpm은 의존성 빌드 스크립트 실행을 명시적으로 허용해야 하며, Bun도 기본적으로 라이프사이클 스크립트를 실행하지 않는다.
4. 정확한 버전 고정 (Pinning): ^ 또는 ~ 와 같은 범위 대신 정확한 버전으로 모든 의존성을 고정한다. 이는 모든 버전 변경 사항을 diff에서 명확하게 확인하고, 예상치 못한 의존성 업데이트를 방지한다.
5. 하나씩 업데이트 및 검증: 모든 패키지를 한 번에 업데이트하는 것을 금지하며, 각 패키지 또는 관련 그룹별로 개별적으로 업데이트한 후 즉시 검증(TypeScript 타입 체크, PHPStan, 테스트 스위트 실행)을 수행한다. 이를 통해 문제가 발생했을 때 원인이 되는 업데이트를 정확히 파악할 수 있다. 메이저 버전 업데이트 시에는 변경 사항을 검토받고 명시적인 승인을 받아야 한다.
- 자동화된 업데이트의 효율성: 이러한 스킬을 따르는 AI 에이전트는 사람이 수동으로 처리할 때보다 더 안전하게 의존성 업데이트를 수행할 수 있으며, 규칙 위반이 발생할 확률이 낮다.

시사점

Claude Code Skills를 활용한 자동화된 의존성 관리 방식은 개발자의 수작업보다 더 체계적이고 안전한 패키지 업데이트를 가능하게 하며, 최신 AI 에이전트 기술을 활용하여 공급망 공격 위험을 효과적으로 완화할 수 있는 실질적인 해결책을 제시한다.