악성 패키지 급증에 맞서 코드 서명과 출처 증명이 개발 표준이 되는 흐름을 다룹니다. Sonatype 2024 보고서에서 악성 패키지는 전년 대비 156% 늘어 51만 개 이상 탐지됐고, PyPI Trusted Publisher 설정 프로젝트는 약 4만5천 개로 늘었지만 전체 대비 아직 일부입니다. 의존성 트리 확인, syft로 SBOM 생성, cosign 서명 실습을 권합니다.