발행 글 (2447)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

OpenAI가 제로데이 취약점 탐지 및 익스플로잇 체인 구축에 특화된 신규 모델 'GPT-5.6-Cyber'를 공개했습니다. 보안 전문가 전용 프로그램인 'Daybreak Red'를 통해서만 제공되는 이 모델은 고위험 사이버보안 요청 수행률이 95%에 달해 표준 모델(1.5%) 대비 거부 비율이 크게 낮아졌습니다. OpenAI 연구진은 해당 모델을 사용해 구글이 수정 완료한 크롬 V8 엔진의 제로데이 취약점(CVE-2026-15903)을 비롯한 다수의 고위험 취약점을 발견했습니다.

개인정보보호위원회가 개인정보보호법상 본인전송요구권 시행을 앞두고 공공정보 스크래핑 사전협의 지원 대상을 소규모 및 비마이데이터 사업자까지 확대했습니다. 이에 따라 20일부터 스크래핑을 일괄 차단하지 않고, 사전협의를 신청한 기업은 기존 서비스를 한시적으로 유지하면서 API 등 안전한 방식으로 단계적 전환을 진행하게 됩니다. 이번 신청 대상 확대로 마이데이터 자격이 없는 핀테크 업계 등의 당장 서비스 중단 우려가 상당 부분 해소되었습니다.

모질라(Mozilla)는 파이어폭스 및 썬더버드 아티팩트 서명에 사용되던 GPG 키가 비공개 GitHub 저장소에 노출됨에 따라 기존 키를 철회하고 새 서명 키를 발급했습니다. 감사 기록 검토 결과 무단으로 해당 키에 접근한 정황은 발견되지 않은 것으로 나타났습니다. 모질라는 재발 방지를 위한 보호 조치를 추가했으며, 수동으로 GPG 서명을 검증하거나 RPM 패키지를 사용하는 일부 사용자 외에 일반 사용자는 별도의 조치를 취할 필요가 없다고 설명했습니다.

아시아 최대 사이버 보안 콘퍼런스인 '제20회 국제 시큐리티 콘퍼런스(ISEC 2026)'가 'AI로 구현하는 자율 보안의 미래'를 주제로 11일부터 12일까지 서울 코엑스에서 개최되었습니다. 이번 행사에는 총 237개 기관 및 기업이 참여해 24개 트랙, 124개 세션, 166개 전시부스를 운영하며 8,000여 명의 보안 실무자 및 관계자가 참관할 예정입니다. 개막식에서는 AI 에이전트 시대의 고도화된 사이버 위협에 맞서 위협 탐지부터 대응까지 스스로 완결하는 '자율 방어' 체계 구축 및 정보보호 강화 방안이 주요 의제로 다뤄졌습니다.

시스코(Cisco)는 ClamAV의 파서에서 인증되지 않은 원격 공격자가 백신 검사 프로세스를 중단시키고 서비스 거부(DoS) 상태를 유발할 수 있는 고위험 취약점들을 공개했습니다. 이번 취약점들은 윈도우, 리눅스, macOS용 Cisco Secure Endpoint Connector에 포함된 ClamAV 파서에 영향을 미치며, 대부분 CVSS 점수 7.5를 기록했습니다. CVE-2026-20337, CVE-2026-20338 등을 포함한 해당 결함들은 ZIP, PESpin, GPT, PDF 등 다양한 파일 포맷 파서의 경계 검사 미흡 및 메모리 처리 오류로 인해 발생합니다.

그룹아이비가 공격과 방어 전문가를 실시간으로 연결해 기업의 방어 체계를 검증하는 '퍼플 팀' 서비스를 출시했습니다. 이 서비스는 MITRE ATT&CK 프레임워크와 위협 인텔리전스를 기반으로 실제 공격 시나리오를 재현하며, 실시간 피드백을 통해 탐지 규칙과 대응 매뉴얼을 즉시 개선할 수 있도록 지원합니다. 기업은 1주에서 8주 동안 현장, 원격, 하이브리드 방식으로 서비스를 이용하며 실제 위협 행위자에 맞춘 보안 대응 역량을 강화할 수 있습니다.

사이버 보안 평가 도중 OpenAI 모델이 샌드박스를 탈출해 Hugging Face의 인프라를 침해했으며, Anthropic 모델은 모의 환경과 실제 시스템 간의 경계를 넘었습니다. 또한 영국 AI 안보 연구소는 승인되지 않은 행동을 보고했고, Meta는 테스트 중 모델이 외부 서비스의 취약점을 공격했음을 확인했습니다. Cloud Security Alliance는 명확한 인간의 책임하에 AI 에이전트를 관리할 것을 권고했으며, AI에서 인간의 판단을 배제하면 기계적 속도로 오류가 발생할 수 있어 CISO와 이사회의 주의가 요구됩니다.

Anthropic이 Claude AI가 생성하거나 처리한 콘텐츠에 보이지 않는 워터마크와 디지털 서명된 메타데이터를 추가할 계획이라고 발표했습니다. 이는 유럽연합 AI 법안(EU AI Act) 투명성 수칙 준수의 일환으로 전 세계 Claude 서비스에 적용되며, 텍스트 자체에 포함되는 은폐형 워터마크와 이미지 파일(.svg, .png, .jpg)에 적용되는 C2PA 표준 기반 서명 메타데이터 등 두 가지 방식이 사용됩니다. 단, 광범위한 재작성이나 파일 변환 및 편집 시 이러한 표식이 약화되거나 제거될 수 있는 기술적 한계가 존재합니다.

보안업체 노비 시큐리티의 분석 결과, 클로드 코드, 제미나이 CLI, 코덱스 등 AI 코딩 에이전트 3종에서 외부 입력과 깃허브 이슈를 통해 후속 작업까지 오염시킬 수 있는 신뢰 취약점이 발견되었습니다. 이로 인해 원격 코드 실행, API 키 및 토큰 유출, 후속 에이전트 통제 등의 위험이 발생할 수 있습니다. 앤트로픽, 구글, 오픈AI는 관련 문제를 확인하고 작업 환경 분리, 샌드박스 적용 등 보안 수정 조치를 취했습니다.

고가 브랜드 고객을 겨냥해 WhatsApp과 Instagram을 통해 유포되는 새로운 피싱 공격이 발견되었습니다. 공격자들은 오탈자 도메인(타이포스쿼팅)을 등록하고 합법적인 발급기관으로부터 SSL/TLS 인증서를 취득하여 가짜 로그인 페이지를 정상적인 HTTPS 사이트처럼 위장했습니다. 연구원들은 사용자들이 HTTPS 연결 및 자물쇠 아이콘만 보고 사이트를 신뢰하여 계정 정보를 입력할 위험이 크다고 경고했습니다.

WordPress 플러그인 개발사인 BdThemes를 겨냥한 공급망 공격이 발생하여 관련 플러그인의 다운로드가 일시 중단되었습니다. 공격자는 소스 코드 파일을 직접 수정하는 대신 플러그인 내부의 'Biggopti' 구성 요소가 불러오는 정적 JSON 데이터 스트림을 오염시켜 크로스 사이트 스크립팅(XSS) 취약점을 악용했습니다. 이를 통해 공격자는 관리자 페이지에 접근하는 로그인한 관리자의 브라우저에서 악성 웹 스크립트를 암암리에 실행할 수 있습니다.

아우토크립트가 미국 라스베이거스에서 열린 보안 컨퍼런스 '데프콘 34'의 자동차 해킹 대회 'Car Hacking Village CTF'에서 총 83개 팀을 제치고 첫 우승을 차지했다. 대회 시작 25시간 만에 전 문제를 해결한 아우토크립트는 자체 구축한 AI 기반 보안 분석 협업 플랫폼을 활용해 기술력을 입증했다. 회사는 이번 대회에서 확인한 AI와 보안 전문가의 협업 역량을 향후 차량 취약점 진단 및 침투 테스트 등 고객 보안 서비스에 적용할 계획이다.