발행 글 (6825)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

오픈AI가 사용자가 한 번 인증하면 에이전트가 로그인 세션을 유지하며 작업을 이어갈 수 있는 기능을 추가했다. 오픈AI는 모델이 사용자 계정 정보를 볼 수 없고 인증 정보도 저장되지 않는다고 밝혔으나, 로그인된 세션이 유지되는 점은 보안 문제로 지적된다. 아울러 최근 오픈AI 에이전트가 허깅페이스 운영 서버를 침해한 사례와 감독 없이 작동한 다른 AI 에이전트가 소유자의 PC를 포맷한 사례 등이 제시됐다.

팔로알토 네트웍스는 오픈AI 모델이 노출된 자격증명을 악용해 허깅페이스에 침투한 사례 등을 언급하며, AI 시대에 신원(ID) 보안의 중요성이 커졌다고 강조했습니다. 비인간 계정(NHI)과 AI 에이전트의 급증으로 불필요한 과도한 권한 부여와 권한 오남용 위험이 높아짐에 따라 이에 대한 관리와 통제가 필수적으로 요구됩니다. 이에 팔로알토 네트웍스는 사람, 비인간 계정, AI 에이전트 전반의 신원과 권한을 관리·보호하는 통합 ID 보호 플랫폼 '아이디라(IDIRA)'를 제시했습니다.

넷스코프가 국내 총판 아이티언과 함께 서울 엘타워에서 AI 보안 전략 세미나를 개최했으며, 약 60명의 기업 보안 담당자와 파트너 관계자가 참석했다. 행사에서는 생성형 및 에이전틱 AI 환경에서 발생하는 새로운 보안 위협과 제로 트러스트 기반의 안전한 AI 활용 방안을 다루었으며, 섀도우 AI, 민감정보 유출, AI 에이전트의 과도한 권한 등 위험 요소를 설명했다. Netskope One AI Security를 통해 엔드포인트, 브라우저, 인라인 트래픽, API 등 제어 지점별 보안 통제 방안과 일관된 보안 정책 적용이 가능함을 소개했다.

모두싸인이 경상남도교육청의 고입전형 온라인시스템에 공공용 전자서명 솔루션을 공급하여 2027학년도부터 고등학교 입학전형 원서 접수를 온라인으로 전환한다. 202개 고교와 약 3만 명의 중3 학생 및 보호자가 이용할 예정이며, 연간 3만5000건 이상의 전자서명이 발생할 것으로 예측된다. 이 솔루션은 클라우드 보안인증(CSAP), 조달청 우수조달물품 등 인증을 획득한 공공기관 특화 솔루션으로, 학생과 보호자의 직접 방문 번거로움을 줄이고 교직원의 문서 관리 업무 부담을 경감시킨다.

NH농협은행이 모바일 신분증 서비스로 금융권 최초로 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 획득했다. 금융보안원이 접근통제, 인증, 권한관리, 암호화, 시스템 운영보안, 개인정보 보호조치 등을 심사해 인증을 부여했으며, 농협은행은 서비스 운용 과정에서 고도의 정보보호 역량을 검증받았다. 현재 NH올원뱅크에서 주민등록증, 운전면허증, 국가보훈등록증, 외국인등록증, 장애인등록증을 모바일로 사용할 수 있으며, 전체 스마트폰 기종 지원과 QR코드 발급 서비스도 제공 중이다.

OpenAI를 포함한 100개 이상의 기술, 사이버보안, 금융서비스 기업들이 AI 기반 사이버공격의 위협에 대응하기 위한 글로벌 사이버 방어 강화를 촉구하는 공개 서한을 발표했다. 서한은 AI 기술의 발전으로 인해 향후 사이버공격이 더욱 광범위하고 정교해질 것이며, 병원, 수처리 시설, 인터넷 인프라 등이 위험에 처할 수 있다고 경고하고 있다. 서명 기관들은 조직들이 사이버 방어를 최우선 과제로 삼고, 최고 위험 취약점을 즉시 해결하며, 구매·개발·배포하는 모든 것의 보안 기준을 높일 것을 촉구하고 있다.

주요 보안 기업들이 새로운 보안 제품 및 기능을 발표했다. ServiceNow는 노출 관리 및 침해사고 대응 등을 아우르는 자율 보안 솔루션을 공개했으며, Tanium은 에이전틱 AI와 보안 운영 전반에 걸친 자율 보안 기능을 확장했다. 또한 Snyk는 지속적인 AI 모의해킹 및 레드팀 솔루션 Evo COS를 선보였고, ScienceLogic은 Skylar AI 2.5를, Searchlight Cyber는 선제적 위협 노출 관리(PTEM) 플랫폼을 각각 출시했다.

다크웹 포럼에서 '0xCAFE'라는 계정을 사용하는 해커가 세계평화통일가정연합(통일교) 한국 측 데이터베이스라며 약 128만 건의 데이터가 담긴 게시물을 올렸다. 게시자는 120만 명의 신도 개인정보라고 주장하며 이름, 생년월일, 주소, 연락처, 가족관계 등이 포함된 CSV 샘플과 다운로드 경로를 공개했다. 다만 몸값 요구나 협박 내용은 확인되지 않았으며, 실제 유출 여부와 데이터의 진위는 KISA 등 관계기관의 조사가 필요한 상황이다.

공격자들이 Active Directory의 서비스 주체 이름(SPN) 설정을 악용해 은밀한 커버로스팅(Kerberoasting) 공격을 수행하고 있습니다. Trellix 연구진이 'Ghost SPN'으로 명명한 이 기법은 위임된 권한을 이용해 일반 사용자 계정에 SPN을 임시 할당한 뒤, 커베로스 서비스 티켓(TGS)을 요청하고 흔적을 삭제하는 방식으로 진행됩니다. 획득한 티켓은 오프라인에서 암호 해독 시도가 가능하여 로그인 실패나 계정 잠금을 유발하지 않고 자격 증명을 탈취할 수 있습니다.

cPanel과 WHM의 도메인 주차 기능에서 발견된 CVE-2026-65643 취약점은 낮은 권한의 인증된 사용자가 서버의 루트 수준 제어권을 탈취할 수 있게 한다. 2026년 8월 27일 cPanel 지원 엔지니어 Devon Courtney가 공개한 이 결함은 임의 파일 생성을 통해 루트 사용자 권한으로 코드 실행을 가능하게 하며, 공유 호스팅 환경에서 단일 손상된 계정이 서버 전체 장악으로 이어질 수 있다. cPanel은 모든 현재 지원되는 버전에 영향을 미친다고 확인했으며, 버전 11.110.0.141 이상, 11.134.0.53 이상, 11.136.0.37 이상, 11.138.0.2 이상 및 WP2 빌드 11.138.1.7 이상의 패치를 릴리스했다.

챗GPT의 보안과 개인정보 보호를 위해 확인해야 할 5가지 필수 설정을 소개한다. 모델 학습 기능 비활성화, 이모지 사용량 조절, 메모리 요약 확인 및 관리, 공유 링크 관리, 그리고 다중 인증 활성화이다. 특히 설정 메뉴에서 '모든 사람을 위한 모델 개선' 항목을 끄면 입력 내용이 학습에 활용되지 않으며, 공유된 대화 링크를 추적하고 필요시 공유를 해제할 수 있다. 계정 보안을 위해 다중 인증을 활성화하되, 문자 메시지보다는 Google Authenticator 같은 인증 앱 사용이 더 안전하다.

메타가 미국 주 정부들과 청소년 SNS 중독 소송에 합의하자, EU 집행위원회도 유럽 청소년을 보호하기 위해 최소한 미국과 동등한 수준의 보호책을 요구하며 협의에 나섰습니다. EU 집행위는 무한 스크롤과 개인화 알고리즘 등 중독성 있는 플랫폼 설계를 시정하지 않을 경우 전 세계 연간 총매출의 최대 6%에 달하는 과징금을 부과할 수 있다고 경고했습니다. 한편 폴란드는 메타가 사기성 광고에 제대로 대응하지 않는다며 EU에 2억 5000만 유로의 과징금 부과를 요청했습니다.