공급망

《월스트리트 저널》에 따르면, 애플은 중국 DRAM 제조업체 **장신 저장(CXMT)**의 메모리 칩을 테스트하고 있으며, 이를 iPhone 및 MacBook과 같은 제품 라인에 적용할 계획이다. 이러한 조치의 배경은 AI 수요가 전 세계 메모리 가격을 끌어올리고 있으며, 애플은 현재 한국 및 미국 공급업체의 가격이 "지속 가능하지 않다"고 미국 측에 로비를 했다고 전해진다. 보도에 따르면, 애플은 백악관의 승인을 받아 중국 칩 공급업체와 사업을 진행하려고 하며, 현재 미국은 구매자가 상용 현물 칩을 구매하는 것은 허용하지만 맞춤형 제품은 제한하고 있다.장신 저장은 최근 시장 점유율이 빠르게 확대되었으며, 2분기 수익은 전년 대비 8배 이상 증가했고, 전 세계 DRAM 시장 점유율은 **7%**로 상승했으며, 지난달 과학기술 혁신판 IPO를 완료했다. 한편, HP, 아수스 등 PC 제조업체들은 미국 외 시장에서 판매되는 일부 장비에 장신 저장 메모리 칩을 사용하기 시작하여 공급 압박을 완화하고 있다. 애플이 최종적으로 구매 계약을 체결할 경우, 워싱턴 측의 정치적 저항에 직면할 수 있다.

미국 대통령 트럼프는 현지 시간 8월 7일 미국 국무부에서 전 세계 일부 대형 광산 회사 경영진을 소집하여 미국 및 동맹국의 핵심 광물 공급을 보장하기 위한 조치를 취할 예정이다.참석할 것으로 예상되는 업계 거물에는 리오틴토 그룹, BHP 그룹, 프리포트-맥모란 구리 금 회사 등이 있다. 트럼프 정부는 여러 거래 및 양해각서를 발표할 계획이다.

Counterpoint Research 분석에 따르면, 미국 연방 통신 위원회(FCC)가 제안한 중국산 광 모듈 수입 금지가 시행될 경우, 주로 미국 클라우드 업체에 큰 영향을 미치고 중국 공급업체에는 영향을 미치지 않을 것이라고 합니다. 중际旭创은 약 **27%**의 점유율로 전 세계 데이터 센터 광 모듈 수익에서 1위를 차지하고 있으며, Coherent는 약 **17%**로 2위를 차지하고 있습니다. 중국 제조업체들은 전 세계 약 삼분의 이의 단위 공급량과 약 **60%**의 광 통신 모듈 수익을 차지하고 있습니다.분석에 따르면, Coherent와 Lumentum 등의 서방 공급업체들은 단기적으로 충분한 클린룸 생산 능력, 자동화 포장 기반 시설 및 수율 규모가 부족하여 12-24개월 이내에 중국 업체의 생산 능력 공백을 메우지 못할 것으로 보이며, 이는 AI 클러스터 배치 지연을 수 개월 초래하고 클라우드 업체의 자재 비용을 증가시킬 수 있습니다. 동시에, 중국 모듈 제조업체들은 북미 초대형 고객의 고급 800G/1.6T 모듈 수익에 대해 90% 이상 의존하고 있지만, 태국에 공장을 설립하여 일부 생산 능력을 이전하고 있습니다.Counterpoint는 광 모듈 공급망이 매우 상호 의존적인 시스템이라고 강조하며, 중국 제조업체들이 Broadcom, Marvell의 DSP 칩과 Lumentum, Coherent, 미쓰비시 전기의 레이저 및 광 칩을 대량으로 구매하고 있어 강제로 분리할 경우 전체 생태계가 혼란에 빠질 것이라고 경고했습니다.

느린 안개 모니터링에 따르면, MistEye는 Keyv/Cacheable 생태계에 영향을 미치는 대규모 npm 공급망 공격을 감지했습니다. 공격자는 [email protected]을 포함하여 2,000개 이상의 악성 패키지 버전을 배포했습니다. Keyv는 Redis, SQLite, PostgreSQL, MongoDB 등 다양한 백엔드를 지원하는 널리 사용되는 키-값 저장소 추상 라이브러리로, 주간 다운로드 수는 약 1.27억 회에 달하며, 이는 명백한 하위 공급망 노출을 초래합니다.공격 방식은 이전의 Shai-Hulud npm 웜 활동과 매우 유사하며, 고도로 자동화되고 확장 가능한 공급망 공격을 지목합니다. 잠재적인 공격 행동에는 자격 증명 도용, 환경 변수 유출, CI/CD 키 유출, 원격 페이로드 전달 및 침해된 개발 환경을 통한 수평 전파가 포함됩니다. 보안 팀은 즉시 영향을 받은 패키지 버전을 식별하고 제거하며, 검증된 안전한 버전으로 업그레이드하고, 의존성 잠금 파일과 빌드 로그를 검토하며, 의심스러운 외부 연결을 모니터링하고, 유출된 자격 증명을 교체하며, 영향을 확인한 후 환경을 재구성해야 합니다.

AI 공급망 관리 스타트업 Freehand가 7,500만 달러의 자금을 조달했다고 발표했습니다. Battery Ventures와 NewRoad Capital Partners가 공동으로 주도했으며, Nexus Venture Partners와 전 미국 상무부 장관 Penny Pritzker의 PSP Growth 펀드가 참여했습니다.Freehand의 AI 에이전트는 계약 해석, 공급업체 요금 협상, 초과 청구 식별, 지불 처리 및 ERP 시스템 조정 등의 작업을 자율적으로 수행할 수 있으며, 고객에는 Meta, 유니레버, 존슨앤존슨, 화이자, 던킨 및 카디널 헬스와 같은 주요 기업이 포함되어 있습니다.

금십 보도에 따르면, 마이크론 테크놀로지 (MU.O)는 미국 내 반도체 공급망을 강화하기 위해 30억 달러를 투자할 계획이라고 밝혔다.

물류 공급망 RWA 플랫폼 CARFI가 BVI 회사 Apex Logistics Technology Co., Ltd.가 공식적으로 청구서 토큰화 제품 CFUSD를 출시했으며, CARFI가 발행 서비스를 제공한다고 발표했습니다. 이 프로젝트는 바이낸스 체인(BNB Chain)에 배포되었습니다.CFUSD의 기초 자산에는 물류 매출채권, 무역 금융 자산, 공급망 금융 대출, 기타 매출채권 및 검토된 단기 고정 수익 자산이 포함되어 있으며, 안정적인 현금 흐름을 지원합니다.

7월 1일, WEEX TradFi 데이터에 따르면, 최근 미국 주식 시장의 기술 섹터는 성과가 엇갈리고 있으며, 자금은 실제 실행 가능성이 있는 Physical AI, 로봇 및 관련 공급망 방향에 지속적으로 주목하고 있습니다. 그 중, AMD는 24시간 동안 약 7.7% 상승했으며, Symbotic(SYM)은 6.6% 이상 상승, Texas Instruments(TXN)은 약 4.4% 상승, NVIDIA(NVDA)는 약 2.6% 상승, Tesla(TSLA)는 약 2.1% 상승, Analog Devices(ADI)는 약 1.4% 상승했습니다.WEEX Labs는 시장 자금이 단일 계산력 서사에서 실제 실행 가능성이 있는 Physical AI 공급망 핵심 요소로 확산되고 있다고 보고하며, 이는 테슬라 Optimus 생산 라인 개조, 엔비디아 Physical AI Day와 같은 사건들이 소프트웨어와 하드웨어의 협동 기대를 지속적으로 강화하고 있으며, 관련 섹터에 대한 관심이 높아지고 있음을 나타냅니다.

블루웨일 테크에 따르면, 중흥통신과 바이트댄스가 공동으로 추진하는 차세대 두부 AI 휴대폰은 등록 인증 프로세스 문제로 인해 원래 예상했던 2분기 출시가 지연될 수 있다고 합니다. 내부 소식통에 따르면, 이 휴대폰은 사이버 정보 사무소의 대모델 등록과 공업 정보부의 네트워크 인증을 동시에 통과해야 하며, 현재 제품은 두 번째 등록 신청 상태에 있습니다. 승인이 순조롭게 진행된다면, 새로운 기기는 올해 7월에서 8월 사이에 출시될 예정입니다.공급망 측면에서, 차세대 두부 휴대폰의 화면 공급업체는 심천 타마에서 BOE로 변경되었으며, 배터리는 데사이 배터리와 ATL 전지를 사용하고, 복일 전자 산하의 중노 통신이 위탁 생산을 담당합니다. 또한 보도에 따르면, 이 제품은 주로 대모델을 깊이 삽입한 운영 체제의 기술 경로를 채택하고 있지만, 시스템 수준의 에이전트가 애플리케이션 간 호출을 구현할 때, 현재 텐센트, 알리바바 등 주요 플랫폼이 관련 데이터 권한을 개방하지 않아 생태적 장벽 도전에 직면해 있습니다.

느린 안개에서 발표한 바에 따르면, 140개 이상의 Mastra 관련 npm 소프트웨어 패키지가 공급망 공격을 받았으며, 영향을 받은 버전은 악성 의존성 [email protected]를 도입하고 설치 단계에서 공격자가 제어하는 코드 실행을 유발합니다.

백모 주신이 발표한 바에 따르면, 엔비디아와 구글이 800V 직류(DC) 전원 아키텍처의 조기 적용을 추진하고 있으며, 관련 소량 출하가 2026년 3분기로 앞당겨질 것으로 예상된다. 이 기술은 엔비디아의 베라 루빈 플랫폼과 구글의 차세대 AI 데이터 센터에 먼저 적용될 예정이다.이러한 진행 속도 증가의 영향을 받아, 전력 반도체 및 데이터 센터 인프라 부문이 상당한 성장을 이룰 것으로 기대된다. 현재 핵심 수혜자로 여겨지는 공급망 기업으로는 델타 전기(2308), 버티브(VRT), 송천 정밀(7788), 그리고 슈나이더 일렉트릭, 이튼, 지멘스 등이 있다.

슬로우 후드 모니터링에 따르면, IronWorm이라는 이름의 새로운 Rust 공급망 악성 소프트웨어 활동이 악성 npm 패키지를 통해 개발자 환경과 Web3 생태계를 공격하고 있습니다. 잠재적인 공격 행동에는 자격 증명 도용, 지갑 니모닉 및 비밀번호 도용, GitHub 저장소 변조, 악성 패키지 배포, CI/CD 비밀 유출, Tor 기반 명령 제어 및 eBPF 루트킷 은폐가 포함됩니다.보안 팀은 저장소의 회귀 커밋, 의심스러운 브랜치, 예기치 않은 빌드 훅 및 claude, dependabot, renovate 또는 github-actions와 같은 자동화된 신원 확인의 커밋을 감사해야 합니다. 영향을 받은 패키지 버전을 제거하거나 폐기하고, 깨끗한 버전을 게시하며, 모든 유출된 키와 토큰을 교체하고, GitHub Actions 구성 요소를 검토하고, 깨끗한 이미지에서 손상된 개발 또는 CI 시스템을 재구성할 것을 권장합니다.

슬로우미스트(SlowMist)가 보안 경고를 발표했습니다. @redhat-cloud-services와 관련된 소프트웨어 패키지를 목표로 하는 활성 npm 공급망 공격이 감지되었습니다. 현재 31개 이상의 패키지가 영향을 받는 것으로 확인되었으며, 주간 다운로드 수는 약 116,000회에 달하고, 300개 이상의 GitHub 저장소에서 도난당한 자격 증명이 존재합니다. 이 공격 기법은 이전의 "Shai-Hulud" npm 공격과 매우 유사하며, 자격 증명 탈취, 악성 저장소 생성 및 자동화된 비밀 유출을 포함합니다. 현재도 새로운 의심스러운 저장소가 지속적으로 나타나고 있어 공격이 계속 진행 중임을 나타내며, 개발자들이 지속적으로 감염되고 있습니다.잠재적 위험에는 GitHub/npm 토큰 도난, AWS/GCP/Azure 클라우드 자격 증명 유출, SSH 키 및 Kubernetes 비밀 수집, 로컬 환경 및 지갑 데이터 유출, 악성 저장소 생성 및 지속적인 작업, 심지어 토큰이 해지된 후 파괴적인 행동을 유발할 수 있는 가능성이 포함됩니다. 영향을 받는 @redhat-cloud-services 패키지 버전을 즉시 제거하거나 다운그레이드하고, CI/CD 워크플로우 및 의존성 설치를 전면 감사하며, 모든 GitHub, npm, 클라우드 서비스, SSH 및 지갑 관련 키를 교체하고, 로그를 보관하며, 깨끗한 이미지에서 노출된 개발자 머신이나 러너를 재구성하고, 높은 경계를 유지할 것을 권장합니다.

느린 안개에 따르면, 보안 기관 MistEye가 하나의 교차 등록 공급망 공격 사건을 감지했습니다. 공격자는 npm, PyPI 및 crates.io에 악성 소프트웨어 패키지를 게시하여 암호화폐, DeFi, Solana, Sui/Move 및 AI 분야의 개발자를 겨냥했습니다. 이 공격 활동에는 34개 이상의 악성 소프트웨어 패키지와 384개 이상의 관련 버전이 포함되어 있습니다. 공격자는 암호화폐 지갑, SSH 키, 클라우드 자격 증명, GitHub/AWS 토큰, 브라우저 데이터, 환경 변수 및 개발자의 기밀 정보를 도용할 수 있습니다.일부 악성 페이로드는 .cursorrules, CLAUDE.md, Git 훅, 셸 훅, cron, systemd 및 SSH를 통해 지속적인 거주를 시도했습니다. 개발자에게는 즉시 영향을 받는 소프트웨어 패키지를 제거하고, 영향을 받는 시스템을 격리하며, 로그를 보존하고, 노출된 자격 증명을 교체하고, 깨끗한 이미지로 CI 실행 환경과 개발자 머신을 재구성하며, GitHub, 클라우드 서비스, SSH 및 지갑 활동 기록을 검토할 것을 권장합니다.

최근 여러 고빈도 npm 패키지, AntV 및 Echarts-for-react와 Python SDK durabletask가 Mini Shai-Hulud "미니 샤이 훌루드" 공급망 공격을 받았다는 위협 정보가 느린 안개에 의해 발표되었습니다. npm 계정 atool이 해킹당했으며, 공격자는 22분 만에 637개의 악성 버전을 자동으로 게시하였고, 이는 317개의 패키지와 관련이 있습니다. 공격자는 35분 내에 durabletask 1.4.1, 1.4.2 및 1.4.3 버전을 연속으로 업로드하여 정상적인 게시 제어를 우회하고 마이크로소프트 공식 게시물로 가장했습니다.GitHub 토큰 대규모 유출 사건과 Grafana Labs의 랜섬웨어 공격은 이 공급망 공격과 관련이 있을 가능성이 높습니다. 영향을 받은 구성 요소에는 npm 생태계의 AntV, Echarts-for-react와 같은 고빈도 구성 요소 및 Python 패키지 durabletask 1.4.1, 1.4.2 및 1.4.3이 포함됩니다. 공격자는 클라우드 및 로컬 자격 증명을 탈취하고, 내부 저장소 및 민감한 클라우드 인프라에 무단으로 접근하며, 개발자 머신 및 CI/CD 파이프라인으로 수평 이동하고, 유출된 GitHub 토큰을 판매 및 활용하며, 랜섬 및 데이터 유출 위협을 실행할 수 있습니다.느린 안개는 모든 노출된 자격 증명을 즉시 교체하고, 영향을 받은 패키지를 교체하며, 감염될 가능성이 있는 시스템을 격리하고, 엄격한 의존성 검토 정책을 시행할 것을 권장합니다. 이전 소식에 따르면, "미니 샤이 훌루드" 웜이 최근 오픈 소스 코드 저장소에서 대규모 감염을 완료했으며, 개발자는 점검에 주의해야 합니다.