발행 글 (6622)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

크라우드웍스가 과학기술정보통신부와 한국지능정보사회진흥원이 발주한 'AI 에이전트 안전·신뢰성 검증 체계 지원' 사업을 수주했다. 이 사업은 AI 에이전트가 계획을 수립하고 외부 도구를 호출하여 과업을 수행하는 과정의 안전성과 신뢰성을 평가하는 검증 체계를 구축하기 위해 추진되며, 크라우드웍스는 다단계 추론 시나리오와 한국형 검증 데이터셋 구축을 담당한다. 슈어소프트테크가 주관하고 KAIST, 한국인공지능산업협회가 참여하는 컨소시엄은 올해 말까지 검증 체계 구축을 완료할 계획이다.

소닉월(SonicWall)은 Secure Mobile Access 1000 시리즈 어플라이언스에서 실제 악용되고 있는 두 건의 주요 보안 취약점을 발표하고 패치를 공개했습니다. 심각도 10점의 CVE-2026-83548은 인증 없이 원격 공격자가 민감한 기능에 접근해 무단 작업을 수행할 수 있는 사전 인증 SSRF 취약점이며, 심각도 7.8점의 CVE-2026-83549는 관리자를 사칭해 원격 코드 실행을 유발할 수 있습니다. 펌웨어 버전 12.4.3-03453 및 12.5.0-02835가 영향을 받으며 별도의 임시 해결책이 없어 보안 전문가들은 즉각적인 패치를 권장하고 있습니다.

국내 중고폰 시장 규모는 지난해 681만대로 성장했으나, 사용 종료된 휴대폰의 72.1%는 개인정보 유출 우려와 거래 과정의 번거로움으로 인해 중고 시장에 진입하지 않고 있다. 지난해 5월 도입된 '중고폰 안심거래 사업자 인증제'는 인증 사업자가 50곳 이상으로 늘었으나, 소비자 인지도 부족과 제도 활성화 미흡이 문제로 지적되고 있다. 업계는 정부의 홍보 강화와 실질적 지원책 마련을 통해 시장 활성화가 필요하다고 지적하고 있다.

Booz Allen이 미국 및 중국의 18개 첨단 AI 모델을 대상으로 사이버 무기 지표(CWI)를 평가한 결과, Anthropic의 Claude Mythos만이 유일하게 자율적으로 전체 사이버 킬체인을 완수했다. Booz Allen은 테스트된 다른 모델 대부분도 6개월 이내에 동일한 수준의 무기화에 도달할 것이며, 랜섬웨어 조직 및 국가 지원 해커들의 주류 AI 공격이 임박했다고 경고했다. 이에 따라 미국이 주요 인프라의 AI 공격 복원력 마감 기한을 설정하고, 공세적 작전 가속화와 방어 역량을 아우르는 AI 기술을 개발해야 한다고 촉구했다.

새로운 연구에 따르면 기업 보안 팀이 올바른 전략을 갖추고 있다면, 다가오는 대규모 취약점 사태(Vulnpocalypse)가 당초 우려했던 것만큼 감당하기 어렵지는 않을 수 있습니다.

해당 업체의 엣지 디바이스에서 발견된 제로데이 취약점들이 악용되고 있으며, 이번 공격 활동은 올해 여름에 발생한 다른 두 개의 제로데이 취약점 공격에 이어지는 것입니다.

전직 사이버범죄자가 위협 행위자의 사고방식을 분석하고 AI가 공격자들에게 어떤 가치를 제공하는지에 대해 논의한다.

Max Brin은 자율 AI 에이전트의 위험하고 예상치 못한 행동을 제어하기 위한 솔루션인 OpenLeash를 개발하고 있습니다. OpenLeash는 에이전트와 함께 실행되는 권한 부여 계층으로, 에이전트와 네트워크 자산 간의 상호작용을 모니터링 및 가로채 의도하지 않은 위험 행위를 방지합니다. 사용자의 설정에 따라 확실히 위험한 작업은 즉각 차단하며, 불확실한 경우에는 사용자에게 해당 작업을 허용할지 확인을 요청하여 승인 여부를 결정합니다.

WordPress의 'All-in-One WP Migration and Backup' 플러그인에서 인증되지 않은 공격자가 원격 코드를 실행하고 사이트를 탈취할 수 있는 2차 SQL 인젝션 취약점(CVE-2026-19949)이 발견되었습니다. 이 취약점은 7.109 이하 버전에 영향을 미치며, 트랙백을 통해 주입된 악성 데이터가 관리자의 아카이브 복원 작업 시 실행되어 비밀 가져오기 키를 노출시키고 악성 코드가 포함된 아카이브를 업로드할 수 있게 합니다. 500만 개 이상의 사이트에 설치된 해당 플러그인의 패치가 배포되었으나, 약 325만 개 사이트가 여전히 취약한 버전을 실행 중인 것으로 나타났습니다.

Bruce Schneier는 자율 AI 에이전트로부터 이메일을 받았다. 해당 AI는 24시간 내에 $4.75의 암호화폐 지갑을 $10으로 늘리는 과제를 받았으며, CAPTCHA, IP 평판 검사, 계정 나이 제한 등이 신원 확인 시스템보다 먼저 이를 차단했다. AI는 자신이 봇임을 명시했음에도 불구하고 자동화 방지 시스템이 이를 침묵과 동일하게 취급하여 은폐를 유도하는 설계 문제를 지적했다.

한 공격자가 최신 AI 모델과 에이전트 프레임워크를 사용하여 기업 네트워크를 10시간 이내에 침해했으며, 이는 일반적으로 인간 운영자에게 약 2주가 소요되는 공격이다. AI 에이전트들이 정찰, API 엔드포인트 침해, 내부 마이크로서비스 매핑, 하드코딩된 토큰 탈취, 마스터 관리자 자격증명 획득, CI/CD 워크플로우 탈취 등 침입의 모든 단계를 실행했으며, 공격 후 피해 회사에 80페이지 분량의 보안 감사 보고서를 남겼다.

구글은 자율적인 취약점 발견 성능을 개선한 최신 사이버보안 모델 'Gemini 3.8 Flash Cyber'를 발표하고, 'Fairwind 프로그램'을 통해 정부 및 의료기관 등 주요 방어자들에게 조기 접근 권한을 제공한다고 밝혔습니다. 이 모델은 취약점 익스플로잇 같은 공격 역량보다 취약점 패치 등 방어 역량에 우선순위를 두고 설계되었습니다. 한편, Anthropic 또한 소프트웨어 취약점 식별을 지원하는 'Claude Fable 5.1'과 신뢰 기반 접근 프로그램으로 제공되는 'Claude Mythos 5.1'을 공개하며 보안 관련 AI 모델 라인업을 확장했습니다.