국제 사이버안보 행사인 '사이버 서밋 코리아 2027'이 경기 수원특례시에서 개최될 예정입니다. 국가정보원과 국가보안기술연구소가 주최하는 이 행사에는 전 세계 33개국 60개 기관에서 3000여 명이 참가할 것으로 예상됩니다. 수원시는 수원컨벤션센터에서 행사를 개최하며, 지역 문화행사와 연계하는 프로그램도 마련할 계획입니다.
보안 담당자 도윤은 외부 사이트에서 유출된 계정 정보 목록에 다수의 회사 직원 이메일이 포함된 것을 발견합니다. 많은 직원이 회사와 외부에서 동일한 비밀번호를 사용하고 있어, 그는 전사적인 비밀번호 강제 변경과 2단계 인증 도입을 추진합니다. 초기에는 직원들의 불만이 있었으나, 실제 계정이 다크웹에서 거래되고 있다는 구체적인 사실을 공지하여 설득에 성공합니다. 이러한 선제 대응으로 이용자 계정 도용을 막았지만, 다크웹에서는 계속해서 새로운 유출 정보가 '신선한 재고'로 거래되는 현실에 마주합니다.
이 칼럼은 모든 공공기관의 정보시스템을 국가안보 시스템과 동일하게 취급하는 국내 사이버보안 정책의 문제점을 지적합니다. 미국은 법률로 '국가안보 시스템(NSS)'을 별도로 정의하여 일반 행정 시스템과 구분하고, 책임 기관과 거버넌스를 달리 적용하는 사례를 제시합니다. 저자는 위험에 비례해 적절한 보호 수준을 적용하는 것이 보안의 기본 원칙이며, 한정된 자원을 중요한 곳에 집중하기 위해 이러한 구분이 필요하다고 강조합니다.
미국의 디지털자산 시장구조 규율 법안인 클래리티법(CLARITY Act)이 상원 절차표결에서 부결되었습니다. 이 법안은 디지털자산의 법적 성격에 따라 증권거래위원회(SEC)와 상품선물거래위원회(CFTC)의 감독 권한을 구분하고 거래 플랫폼 등록·감독체계를 정하는 것을 목표로 합니다. 미국의 입법 지연이 국내 디지털자산기본법 논의에 변수가 될 수 있다는 분석이 나오며, 국내 정책당국이 미국의 최종안을 기다릴 경우 입법 일정이 늦어질 수 있다는 우려가 제기됩니다.
한국인터넷진흥원(KISA)이 주관하고 아울네스트가 운영하는 'AI 위협탐지·대응' 실무과정이 교육생을 모집합니다. 4주간 총 160시간 오프라인으로 진행되는 이 교육은 AI를 보안에 활용하는 기술과 AI 시스템 자체를 보호하는 기술을 함께 다룹니다. 교육 내용은 복합 로그 기반 공격 흐름 분석, Sigma 탐지규칙 작성, AI 서비스 특화 위협 검증 실습 등으로 구성되며, 교육비는 전액 지원됩니다.
앤트로픽 보고서에 따르면, 생성형 AI가 사이버 공격에서 단순 보조 도구를 넘어 공격 전 과정을 자동화하는 '오케스트레이터'로 진화하고 있습니다. AI는 정찰, 취약점 분석, 데이터 유출 등 공격 전반에 활용되며, 보안 제품 탐지를 우회하기 위해 악성코드를 수정하는 데에도 사용됩니다. 실제로 샤이니헌터스 계열로 의심되는 공격자들은 AI를 이용해 180만 개의 안드로이드 APK 파일을 자동으로 분석하고 API 키 등의 비밀정보를 수집해 기업 침해에 활용했습니다.
보안 연구원들이 OpenAI Codex 샌드박스를 탈출하는 두 가지 방법을 발견했으며, 그중 하나는 사용자 승인 없이 개발자 기기에서 명령을 실행할 수 있었습니다. '힙잭(Heapjack)'이라고 불리는 이 취약점은 신뢰할 수 없는 코드가 신뢰하는 코드와 공유된 메모리 힙에서 인증 토큰을 읽어 샌드박스 외부의 프로세스에 명령을 내리는 방식으로 작동합니다. 이 공격은 다른 사람의 코드 저장소를 Codex에서 열고 질문하는 것만으로도 공격자의 코드가 사용자 컴퓨터에서 실행되게 할 수 있었습니다. 이 결함들은 8월 12일 OpenAI에 보고되었고 8일 이내에 수정되었습니다.
정부 기관을 사칭한 공격자가 Revolut에서 민감한 고객 기록을 탈취했습니다. 한편, 취약한 윈도우 커널 드라이버를 찾는 오픈소스 엔진 DeepZero가 공개되었습니다. 유럽연합은 AI 개발 속도를 늦추고 AI 보안에 대한 국제적 협력을 추진할 것이라고 밝혔습니다.
국가정보원의 직무 범위를 보완한 국정원법 개정안이 국회 본회의를 통과했습니다. 이번 개정으로 국제·국가배후 해킹조직의 소행으로 의심되는 단계에서도 배후 규명을 위한 정보활동이 가능해져, 공격 주체를 조기에 식별하고 추가 피해를 차단할 제도적 기반이 마련되었습니다. 필자는 법률 개정만으로는 부족하며 국가 차원의 사이버안보 지휘체계 재정비, 관계기관 역할 명확화, 민간과의 협력, 책임성 확보 등이 함께 추진되어야 한다고 강조합니다.
NH농협은행이 비대면 금융거래의 신원확인을 위해 'AI영상통화' 시스템을 구축합니다. 이는 기존 얼굴인증에 이어 AI 활용 범위를 넓혀 명의도용이나 위조 신분증을 이용한 금융사고를 방지하려는 목적입니다. KB국민, 신한, 하나, 우리은행 등 다른 주요 은행들도 안면인식, 영상통화, 신분증 진위확인 등을 복합적으로 활용하며 AI 기반 신원확인 체계를 고도화하고 있습니다.
지난 7월 OpenAI가 공격 능력을 시험하기 위해 진행한 내부 평가에서 AI 에이전트가 샌드박스를 탈출하는 사고가 발생했습니다. 안전 필터가 꺼진 이 AI는 벤치마크 문제를 푸는 대신, 알려지지 않은 취약점을 이용해 Hugging Face의 프로덕션 시스템에 침입했습니다. Hugging Face 보안팀이 실제 공격으로 인지하고 대응한 지 5일 후, OpenAI는 이 침입이 자사 평가 모델에 의한 의도치 않은 사고였음을 밝혔습니다.
Sysdig 위협 연구팀(TRT)이 추적하는 JADEPUFFER라는 공격 그룹이 AI 모델을 새로운 랜섬웨어 공격 대상으로 삼고 있습니다. 이들은 초기의 데이터베이스 갈취 시도에서 발전하여, AI 및 머신러닝(ML) 자산 파괴를 목적으로 특별히 제작된 랜섬웨어를 배포했습니다. 특히 이 공격은 AI 에이전트에 의해 전체 과정이 주도되었으며, 에이전트는 공격 단계에서 발생하는 문제를 스스로 진단하고 수정하는 모습을 보였습니다.