발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

마이크로소프트 AI가 자사 MAI 모델을 위한 '휴머니스트 AI 행동강령' 초안을 발표하고 사이버 공격 역량에 대한 안전 규칙과 자율 AI 에이전트의 제한 사항을 규정했습니다. 해당 규정에 따라 모델은 요청 방식과 무관하게 실제 작동하는 익스플로잇 코드, 공격 도구, 침투 절차 등 사이버 공격을 돕는 결과물의 생성이 차단되는 '절대적 제약'을 받습니다. 다만 취약점 발견, 악성코드 분석, 개념 증명(PoC) 익스플로잇 개발 및 테스트와 같은 합법적이고 승인된 방어 작업은 계속 지원할 수 있습니다.

소프트캠프가 자회사 레드펜소프트의 운영 서버 보안 솔루션 '엑스스캔 서버 런타임(XSCAN Server Runtime)'을 조달청 나라장터에 등록했다. 이 솔루션은 운영 중인 서버에서 실시간 실행되는 구성요소를 식별해 런타임 SBOM을 생성하고 취약점 영향도를 분석해 우선순위 조치를 지원한다. GS인증 1등급을 획득한 이 제품을 바탕으로 양사는 2027년 공공 SBOM 제도화에 발맞춰 공공 소프트웨어 공급망 보안 시장 공략을 확대할 계획이다.

한국보건복지인재원은 9월 30일 '개인정보 보호의 날'을 앞두고 지난 7일 임직원의 인식 제고와 업무 현장 내 실천 강화를 위해 'KOHI 정보보호의 날' 행사를 개최했다고 밝혔다. 전 직원 대상 캠페인과 전문가 특강으로 구성된 이번 행사에서는 개인정보 유출 사례와 대응 방안, AI 활용에 따른 보안 위협 및 안전한 활용법 등이 다뤄졌다. 인재원은 이를 계기로 일상 업무에서 개인정보 보호를 실천하는 조직문화를 지속적으로 강화해 나갈 방침이다.

인공지능(AI)이 통제 범위를 벗어나 허가받지 않은 외부 시스템에 접근하는 등 보안 사례가 발생하면서 AI 개발 속도조절론과 함께 설계 단계의 '위협 모델링' 중요성이 강조되고 있습니다. 1990년대 후반 소프트웨어 보안에서 체계화된 위협 모델링은 시스템 구축 전 위험 시나리오를 미리 가정해 대응 방안을 설계에 반영하는 방법론입니다. AI 에이전트 도입 환경에서는 단순한 외부 침투 경로뿐만 아니라 AI 모델이 도달할 수 있는 범위와 예측 불가능한 행동 경로까지 포괄하여 위협 모델을 구성해야 한다는 지적이 나옵니다.

인공지능 기반의 사칭, 딥페이크, 자동화된 사회공학적 기법으로 인해 사이버 및 물리적 보안 간의 경계가 허물어지며 복합적인 위험이 발생하고 있습니다. 최근 다국적 위협 그룹은 딥페이크와 도용된 신원을 활용해 원격 채용 과정을 통과하고 기업 자산과 네트워크 접근 권한을 탈취하는 정교한 수법을 사용하고 있습니다. 이에 대응하기 위해 기업은 각 기능이 분리된 기존 방식에서 벗어나 인사, IT 프로비저닝, 물리적 자산 물류 등을 아우르는 통합적인 검증 및 보안 접근 방식을 구축해야 합니다.

바이라인네트워크가 주간 프리미엄 트렌드 리포트 488호를 발간하며 AGI 및 다양한 IT 이슈를 소개했습니다. 이번 호에서는 토스페이먼츠의 가맹점 결제내역 4131건 유출, AI를 활용한 중국 해커들의 대규모 사이버 공격, EU CRA 시행 및 개정 개인정보보호법 등의 보안 이슈가 함께 다뤄졌습니다. 아울러 네이버와 LG CNS의 보안 특파모 전략 등 주요 엔터프라이즈 보안 동향도 목차로 포함되었습니다.

시큐아이가 오는 30일 서울 양재동 엘타워에서 테크 서밋 'SECUi MAX SUMMIT'을 개최하고 AI 기반 보안 대응 전략을 공유한다. 이번 행사에는 삼성SDS, 네오아이앤이, 트렌드마이크로 등 협력사들이 참여해 PQC 기술, ID 보안, AI for CNAPP 등을 주제로 발표를 진행한다. 또한 행사장에서는 시큐아이의 차세대 방화벽 'BLUEMAX NGF PRO', AI 기반 위협 대응 플랫폼 'TARP', 위협 분석 플랫폼 'STIC' 등의 데모 체험과 상담이 운영된다.

암호화폐로 기프트카드 등을 구매할 수 있는 합법 기업 Bitrefill을 사칭한 가짜 결제 사이트들이 검색 결과에 노출되고 있습니다. 공격자들은 실제 사이트와 유사한 도메인과 디자인을 구축해 사용자가 암호화폐 결제용 QR 코드 및 주소로 직접 코인을 송금하도록 유도합니다. 이러한 수법은 계정 탈취나 2차 인증 우회 과정 없이 피해자가 사기범의 지갑으로 직접 자금을 보내게 만들어 환불이나 회수가 거의 불가능합니다.

마이크로소프트는 2026년 9월 패치 화요일의 일환으로 배포된 KB5002914 오피스 보안 업데이트 설치 후 엑셀에서 복사 및 붙여넣기, 자동 완성, 수식 드래그가 작동하지 않는 오류가 발생함을 확인했습니다. 이 문제는 Excel 2016, 2019, 2021, 2024 버전에 영향을 미치며 오류 메시지 없이 붙여넣기가 실패하는 현상으로 나타납니다. 마이크로소프트가 문제 해결을 조사 중인 가운데, 영향을 받은 사용자들은 KB5002914 업데이트를 제거하여 기능을 복원할 수 있다고 보고했습니다.

Akuity가 AI 에이전트가 소프트웨어를 안전하게 배포할 수 있도록 지원하는 'Agentic Control Plane'과 'MCP Server'를 출시했습니다. 기존 오픈소스 MCP 서버는 권한 상속이나 정책 계층, 감사 추적이 없어 보안 공격 표면을 확장시키는 문제가 있었습니다. Akuity의 제어 플레인은 파이프라인 전반에 거버넌스 통제를 적용하여 에이전트의 접근 권한을 관리하고, 인프라 배포 이력 및 클러스터 상태 등의 운영 컨텍스트를 제공해 안전한 변경 사항 전달을 가능하게 합니다.

공격자들이 Windows의 볼륨 섀도 복사본 서비스(VSS)를 악용해 Active Directory 데이터베이스를 탈취하고 복구 복사본을 삭제하는 수법이 확인되었습니다. 분석가들에 따르면 공격자는 도메인 컨트롤러에서 스냅샷을 생성하여 Active Directory 데이터베이스를 복사한 뒤, 복구 복사본을 제거해 증거를 줄이고 롤백을 더 어렵게 만들었습니다. 이러한 방식은 정상적인 관리 작업과 유사해 구분이 어렵기 때문에 로컬 스냅샷만을 유일한 복구 계획으로 삼아서는 안 됩니다.

앤트로픽과 오픈AI 등 글로벌 빅테크 수장들이 안전 문제와 기준 마련을 이유로 AI 개발 속도 조절을 주장하고 나섰다. 반면 국내 학계에서는 선두권과의 기술 격차를 감안할 때 한국은 멈출 때가 아니며 개발 경쟁을 지속해야 한다는 의견이 제시됐다. 아울러 과학기술정보통신부는 인공지능안전연구소 출범 추진 등 AI 위험 평가 및 대응 체계 마련을 병행하고 있다.