Sieve 소개
AI·LLM 패키지의 취약점, 악성 패키지, 실제 악용된 CVE를 OSV.dev와 CISA KEV에서 모으고, 내 락파일 기준으로 해당 여부와 수정 버전을 알려 주는 보안 모니터입니다.
판정
| 표시 | 뜻 |
|---|---|
| 내 스택 해당 | 등록한 버전이 OSV가 밝힌 영향 범위 안에 있습니다. |
| 버전 확인 필요 | 패키지는 쓰지만 락파일에 정확한 버전이 없어 판정할 수 없습니다. |
| 사용 중 · 안전한 버전 | 패키지는 쓰지만 등록한 버전은 영향 범위 밖입니다. |
자주 묻는 것
Sieve는 어떤 데이터를 쓰나요?
OSV.dev(GitHub Advisory Database·PyPI·Go·RustSec·OpenSSF 악성 패키지 포함)와 CISA Known Exploited Vulnerabilities 카탈로그만 씁니다. 둘 다 공개 데이터이며 직접 크롤링하지 않습니다.
“내 스택 해당”은 어떻게 판정하나요?
CLI가 락파일에서 패키지 이름과 정확한 버전만 뽑아 올리면, 서버가 그 목록을 OSV querybatch API에 그대로 대조합니다. LLM이나 추측은 쓰지 않고, 수정 버전을 모르면 ‘없음’으로 둡니다.
AI·LLM 관련 항목은 어떻게 고르나요?
LLM 프레임워크, MCP SDK, 모델 서빙·학습 도구 같은 패키지 목록과 ‘prompt injection’, ‘MCP server’ 같은 문구 규칙으로 고릅니다. 내 스택에 해당하는 항목은 AI 여부와 상관없이 항상 보입니다.
얼마나 자주 갱신하나요?
OSV는 30분마다, KEV는 6시간마다 증분으로 가져옵니다. 등록된 스택은 6시간마다 다시 대조해 새로 해당하는 이슈가 생기면 알립니다.
내 락파일이나 설정 파일이 서버로 가나요?
아니요. 락파일은 패키지 이름·버전만, MCP 설정과 규칙 파일은 SHA-256 지문과 검사 결과만 올라갑니다. 원문은 기기에 남습니다.