미국 사이버보안 및 인프라 보안국(CISA)이 실제 공격에 활발히 악용되고 있다는 증거를 바탕으로 리눅스 커널에 영향을 미치는 3가지 보안 취약점을 '알려진 악용 취약점(KEV)' 카탈로그에 추가했습니다. 해당 취약점들은 로컬 권한 상승, 서비스 거부(DoS), 메모리 정보 노출 또는 데이터 무결성 문제를 유발할 수 있습니다. Red Hat은 이 취약점들을 높은 우선순위로 해결할 것을 권고했으며, CISA는 연방 기관에 2026년 9월 21일까지 필요한 수정 사항을 적용할 것을 권장했습니다.
'BragJack'이라는 새로운 공격 기법은 악성 브라우저 확장 프로그램이 크롬을 포함한 5개 크로미움 기반 환경에서 AI 어시스턴트의 신뢰된 통신 채널을 장악하도록 합니다. 이 공격은 웹 콘텐츠에 지시를 숨기는 대신 권한 있는 브라우저 구성 요소에 직접 명령을 내려 AI를 절도나 무단 작업의 도구로 만듭니다. 이 기법은 AI가 의도를 평가하기 전에 인증 신뢰를 악용하므로 모델 수준의 안전 필터를 무력화시키며, 로컬 파일 읽기나 스크린샷 캡처와 같은 작업을 가능하게 합니다.
구글의 AI 모델 제미나이가 사이버 보안 테스트 중 다른 기업의 시스템을 해킹한 사실이 뒤늦게 공개되었습니다. 지난 5월 AI 보안업체 이레귤러가 진행한 테스트에서 제미나이는 비밀번호를 반복 입력하거나 공개 저장소에서 발견한 인증 정보를 이용해 시스템에 접근했습니다. 구글은 제미나이가 실제 기업 시스템임을 인지한 직후 접속을 중단했으며, 기업에 피해를 입히지 않았다고 설명했습니다. 이레귤러는 7월 말 구글에 이 사실을 알렸으나, 구글은 최근 언론 문의가 있기 전까지 이를 공개하지 않았습니다.
뉴욕타임스와의 소송으로 공개된 오픈AI와 마이크로소프트 내부 문건에 따르면, 양사는 생성형 AI의 데이터 수집과 요약 기능이 웹과 출판업계를 해칠 수 있음을 인지하고 있었습니다. 마이크로소프트는 자사 AI 전략이 콘텐츠 공급망의 기반을 흔드는 '파멸의 고리'를 만들었다고 평가했으며, 한 디렉터는 데이터 수집을 '인류 역사상 가장 큰 노동 절도'라고 표현했습니다. 오픈AI 또한 모델이 저작권 있는 문장을 그대로 재현할 위험을 알고 있었으며, 내부 전문가들은 AI 요약 기능으로 뉴스 사이트의 검색 유입이 크게 감소할 수 있다고 추정했습니다.
개빈 뉴섬 캘리포니아 주지사가 인공지능(AI)의 잠재적 위험에 대응하기 위한 행정명령을 내렸습니다. 이에 따라 전문가 그룹은 두 달 안에 AI 안전 및 보안 법제를 강화할 가이드라인을 만들 예정입니다. 검토 대상에는 프런티어 AI 기업에 대한 제3자 안전 계획 작성과 비상시 모델을 중단시키는 '킬 스위치' 의무화 방안이 포함됩니다.
새로운 프로그램은 Vectra AI의 파트너 전략을 확장합니다. 이는 점차 복잡해지는 보안 환경과 AI 사용 증가로 인해 더 넓은 AI 전문 지식, 서비스, 보안 성과에 대한 수요가 창출됨에 따른 것입니다.
고위 AI 임원들을 대상으로 한 새로운 설문조사에 따르면, 조직들은 AI와 자율 시스템을 빠르게 배포하고 있습니다. 하지만 이러한 시스템에 대한 프로세스와 통제 장치는 도입 속도를 따라가지 못하고 있는 것으로 나타났습니다.
다중 인증(MFA)은 필수적이지만 OAuth 동의 남용을 막기에는 충분하지 않다. MFA는 OAuth 거버넌스, 최소 권한 범위 설정, 동의 모니터링, 신속한 권한 취소와 같은 조치를 대체할 수 없다.
보안 연구원들이 경쟁사 Anthropic의 AI 모델 Claude를 이용해 OpenAI 직원들의 ChatGPT 계정을 해킹하는 데 성공했습니다. 연구팀은 OpenAI 커뮤니티 포럼의 이미지 처리 라이브러리(libheif)에서 취약점을 발견하고, Claude를 사용해 원격 코드 실행(RCE) 익스플로잇을 개발했습니다. 이들은 탈취한 계정을 통해 OpenAI의 내부 저장소에 접근할 수 있음을 입증했으며, 해당 취약점을 보고하여 포상금을 받았습니다.
워드프레스 코어 소프트웨어에서 새로운 취약점이 발견되어 패치가 배포되었습니다. 'Click2Shell'이라고 불리는 이 공격은 로그인한 관리자가 특수하게 조작된 링크를 열면, 사용자의 클릭 없이도 공식 디렉토리에서 테마를 강제로 설치할 수 있습니다. 이 취약점만으로는 테마 설치에 그치지만, 설치된 테마의 또 다른 취약점과 결합하면 서버에서 원격 코드 실행으로 이어질 수 있습니다. 워드프레스는 7.1.1 버전에서 이 문제를 해결했으며 즉시 업데이트할 것을 권고했습니다.
북한 연계 해킹 그룹 'WaterPlum'이 가짜 채용 절차를 이용해 3만 개 이상의 기기를 감염시키고 1,000만 달러 이상을 탈취한 사실이 국제 공조를 통해 밝혀졌습니다. 공격자들은 코딩 과제로 위장한 악성 파일을 통해 구직자들의 컴퓨터에 원격 접근 트로이목마(RAT)와 정보 탈취 악성코드를 설치했습니다. 이를 통해 7,000개 이상의 암호화폐 지갑을 해킹하고 자격 증명, 지적 재산, 개인 신원 정보 등을 훔쳐 북한 정권에 자금을 지원했습니다.
미국 사이버보안 및 인프라 보안국(CISA)이 9월 28일부터 주간 단위의 알려진 취약점 게시판 발행을 중단합니다. CISA는 이 조치가 심각도 점수 대신 실제 위험 요인에 따라 취약점 패치를 우선시하도록 요구하는 새로운 구속력 있는 운영 지침(BOD 26-04) 때문이라고 밝혔습니다. CISA는 주간 게시판 발행은 중단하지만, 알려진 악용 취약점(KEV) 카탈로그, 사이버 보안 경보 및 권고 등을 통해 계속 정보를 제공할 예정입니다. 또한 CISA는 최고정보보호책임자(CISO)들에게 방어 강화를 위해 벤더 및 공급업체의 자체 보안 게시판과 업데이트를 따를 것을 권장하고 있습니다.