npm을 만들었던 사람들의 두 번째 도전 — 패키지 매니저 vlt 1.0과 호스팅 레지스트리 출시

자바스크립트 개발자라면 하루에도 몇 번씩 npm install을 치잖아요. 그런데 그 npm을 처음 만들었던 사람들이 회사를 나와 완전히 새로운 패키지 매니저를 만들었고, 드디어 1.0 정식 버전을 내놨어요. 이름은 vlt, '볼트'라고 읽는데요. npm의 창시자 아이작 슐루터(Isaac Z. Schlueter)를 비롯해 오랫동안 npm CLI를 개발해온 핵심 멤버들이 모여 세운 회사의 작품이에요. 이번 1.0 발표에서 눈에 띄는 건 클라이언트 도구만이 아니라 '호스팅 패키지 레지스트리'까지 함께 내놨다는 점이에요.

vlt 클라이언트: npm과 호환되면서 더 빠르게

먼저 클라이언트 쪽부터 볼게요. vlt는 기존 npm 생태계와의 호환성을 최우선으로 잡았어요. package.json을 그대로 쓰고, node_modules 구조도 유지하고, npm은 물론 pnpm이나 yarn의 워크스페이스 설정까지 알아듣거든요. 그러니까 기존 프로젝트를 갈아엎지 않고도 명령어만 바꿔서 시험해볼 수 있는 구조예요. 설치 속도도 병렬 처리와 캐싱 구조를 새로 설계해서 기존 npm보다 훨씬 빠르게 만들었다고 하고요.

재미있는 기능도 있어요. 의존성 그래프를 CSS 선택자 비슷한 문법으로 조회하는 쿼리 기능인데요, 이게 뭐냐면 예를 들어 '내 프로젝트에서 특정 라이선스를 가진 패키지만 골라줘'라거나 '설치 스크립트를 실행하는 패키지가 뭐가 있지?' 같은 질문을, 마치 웹페이지에서 요소를 선택하듯 의존성 트리에 던질 수 있는 거예요. 수백 개 의존성 속에서 뭔가를 추적해야 할 때 꽤 유용한 접근이죠.

진짜 승부수는 레지스트리

그런데 이번 발표의 핵심은 사실 레지스트리 쪽이라고 봐요. 레지스트리가 뭐냐면, npm install을 쳤을 때 실제로 패키지 파일을 내려주는 서버, 그러니까 전 세계 패키지가 보관되고 배포되는 '창고'예요. 지금은 자바스크립트 생태계 전체가 사실상 npm 공식 레지스트리 하나에 의존하고 있는데, 이건 마이크로소프트(GitHub) 소유고요. vlt 팀은 vsr이라는 오픈소스 레지스트리를 함께 만들어왔는데, 서버리스 환경에서 가볍게 돌아가도록 설계돼서 누구나 자기만의 레지스트리를 띄울 수 있어요. 그리고 이번에 그걸 대신 운영해주는 호스팅 서비스까지 출시한 거예요. 회사나 팀이 서버 관리 부담 없이 프라이빗 패키지 저장소를 가질 수 있게 된 거죠.

타이밍이 절묘한 게, 요즘 npm 생태계는 공급망 공격으로 몸살을 앓고 있잖아요. 인기 패키지에 악성코드가 심겨 배포되는 사건이 반복되면서, '패키지를 어디서 받아올 것인가'와 '우리 회사 내부 패키지를 어떻게 안전하게 관리할 것인가'가 실무적인 고민이 됐거든요. 레지스트리 계층에서 검증과 통제를 강화하겠다는 vlt의 방향은 이 흐름과 정확히 맞물려요.

경쟁 구도는 어떨까

패키지 매니저 판은 이미 경쟁이 치열해요. 디스크 효율과 엄격한 의존성 관리로 인기를 얻은 pnpm, 오래된 강자 yarn, 런타임까지 통째로 대체하며 속도로 승부하는 bun까지 있죠. 프라이빗 레지스트리 쪽에도 오픈소스 Verdaccio, 기업용 JFrog Artifactory, GitHub Packages 같은 선택지가 있고요. 이 판에서 vlt의 차별점은 '클라이언트부터 레지스트리까지의 수직 통합'을 npm 원조 팀이 직접 다시 설계했다는 데 있어요. npm을 만들면서 아쉬웠던 설계 결정들을 15년치 교훈과 함께 처음부터 다시 할 기회를 잡은 셈이니까요.

한국 개발자에게 주는 시사점

당장 프로덕션의 npm을 vlt로 바꾸라고 권하기는 일러요. 1.0이라고 해도 생태계 검증에는 시간이 필요하고, CI 환경이나 각종 도구와의 호환성 문제는 직접 써봐야 드러나거든요. 다만 사내 공통 라이브러리를 프라이빗하게 배포할 방법을 찾고 있는 팀이라면 호스팅 레지스트리는 진지하게 검토해볼 만한 선택지예요. Verdaccio를 직접 운영하기엔 부담스럽고 Artifactory는 과한 규모의 팀에게 딱 맞는 틈새거든요. 개인적으로는 사이드 프로젝트에서 클라이언트를 먼저 써보면서 쿼리 기능 같은 차별점을 경험해보는 걸 추천해요. 패키지 매니저가 내부적으로 어떻게 동작하는지 이해하는 데에도 좋은 공부가 되고요.

마무리

한 줄로 정리하면, npm을 만든 사람들이 그동안의 교훈을 담아 클라이언트와 레지스트리를 통째로 다시 만들었고, 공급망 보안이 화두인 지금 그 타이밍이 잘 맞아떨어졌다는 소식이에요. 여러분은 지금 어떤 패키지 매니저를 쓰고 계세요? 만약 갈아탄다면 결정적인 이유는 뭐가 될 것 같나요?