발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

구글이 그래픽 관련 컴포넌트에 영향을 미치는 치명적인 보안 취약점 2건을 수정한 크롬 안정화 채널 업데이트를 출시했다. 이번에 수정된 취약점은 WebGL에 영향을 주는 CVE-2026-76034와 WebGPU 구현체인 Dawn의 버퍼 오버플로우 문제인 CVE-2026-76036으로, 브라우저 충돌이나 임의 코드 실행을 유발할 수 있다. 총 15개의 보안 수정 사항이 포함된 크롬 151 버전은 윈도우, macOS, 리눅스 사용자에게 순차적으로 배포된다.

구글 맨디언트(Mandiant)는 연속된 AI 에이전트를 활용해 소스 코드 내 취약점을 탐지하는 내부 도구 'AVDH(Agentic Vulnerability Discovery Harness)'의 운영 방식을 공개했다. 10개월간 운용된 이 도구는 도난당한 기업 저장소를 조사하는 과정에서 단 이틀 만에 검증된 100건 이상의 고위험 결함을 발견했으며, 오픈소스 및 웹 확장 프로그램 등에서 CVE-2026-13242, CVE-2026-55803을 포함한 12건의 CVE를 부여받았다. AVDH는 위협 모델링, 진입점 탐색, 컨텍스트 보강, 가설 생성 및 검증의 파이프라인으로 작동하며, 최종 확인 단계에서는 맨디언트 전문가가 직접 PoC 코드를 실행해 결함을 검증한다.

미국 국가안보국(NSA)과 중앙안보서비스는 파이브 아이즈(Five Eyes) 사이버 보안 기관들을 대신해 AI 기술이 악의적 행위자의 네트워크 침투를 더 쉽게 만들고 공격 속도와 복잡성을 증가시킨다는 권고문을 발표했습니다. 권고문은 AI 도구 통합을 통한 방어 강화를 강조했으나, 현재 위협 행위자가 우위를 점하고 있는 비대칭적 위협 환경을 과소평가했다는 지적이 제기되었습니다. 2025년 12월부터 2026년 3월까지 CISO 및 고위 실무자 93명을 대상으로 진행된 조사에 따르면 응답자의 78%가 에이전트 기반 방어 역량을 신뢰하고 있는 것으로 나타났습니다.

OpenAI는 사이버 보안 위험으로 인해 최신 모델의 강화학습(RL) 훈련을 2주간 일시 중단했다. OpenAI-Hugging Face 사건 이후 및 Astra 모델이 자사 준비도 프레임워크에서 중요 사이버보안 능력 기준을 충족할 수 있다는 예비 증거에 따라, 회사는 연구 환경을 강화하고 모니터링을 확대하며 모델 행동을 평가하고 안전장치를 검증하기 위해 소규모 훈련과 평가를 진행 중이다. OpenAI는 모니터링, 정렬(alignment), 보안 조치를 통해 더욱 강력한 모델 개발을 위한 세 가지 강화 안전장치를 적용하고 있으며, 연구 환경의 보안 요구사항을 강화하고 있다.

Cursor IDE에서 발견된 심각한 0-day 취약점(CVE-2026-63093, CVSS 8.7)으로, 공격자가 저장소 루트에 악의적인 git.exe 파일을 배치하면 개발자가 Windows에서 프로젝트를 열 때 자동으로 실행되어 임의의 코드 실행이 가능하다. Mindgard가 2025년 12월 15일에 Cursor에 보고했으며, 2026년 7월 14일에 기술 세부사항을 공개했다. Cursor는 git 바이너리를 찾기 위해 작업 폴더를 포함한 여러 위치를 검색하는데, Windows의 실행 파일 검색 순서상 신뢰할 수 있는 시스템 경로보다 현재 작업 디렉토리를 먼저 확인하기 때문에 이러한 공격이 가능하다.

2026년 상반기 영국에서 국가사기데이터베이스(NFD)에 220,000건 이상의 사기 사건이 접수되어 반기 기준 최고 기록을 달성했다. 신원 사기가 전년 대비 9% 증가하여 약 130,000건에 달했으며, 이 중 68%가 은행 계좌 및 카드를 대상으로 한 사건이었다. 계정 탈취 사건은 약 40,000건으로 5% 증가했고, SIM 스왑 사건은 402% 급증하여 전체 신고의 10%를 차지했다. 신원 사기는 NFD에 기록된 전체 사건의 5분의 3을 차지하며, 도용된 개인정보가 계정 개설, 기존 시설 탈취, 광범위한 범죄 활동 지원 등에 악용되고 있다.

펫누리의 F10과 서진네트웍스의 TCAM-S30(24.09.25 버전) 등 일부 SW 제품에서 보안 위협이 될 수 있는 취약점이 발견되었다. 제조사에서 취약점을 보완하는 프로그램을 배포·적용할 때까지 해당 제품의 사용을 자제할 것을 권고하며, 부득이한 경우 외부망이 차단된 폐쇄망에서만 사용할 것을 권장한다.

국립한국해양대가 과학기술정보통신부와 한국인터넷진흥원이 주관하는 '2026년도 정보보호특성화대학 지원사업'에 선정되어 해사 특화 사이버보안 전문인력을 양성한다. 2031년까지 최대 6년간 사업비 32억 4000만 원을 투입해 해운·항만·조선 분야 사이버 침해사고 대응 실무 인력을 교육하며, 한국해양과학기술원, 한국선급, 선박해양플랜트연구소 등이 함께 참여한다.

위협 모델링 전문가 Adam Shostack가 개발한 PHANTOM-B 프레임워크는 AI 시스템의 보안 위협을 신속하게 분석하기 위해 설계되었다. 이 프레임워크는 프롬프트 인젝션, 할루시네이션, 편향 등 LLM 관련 위협 8가지를 다루며, 기존의 STRIDE 프레임워크를 보완하는 역할을 한다. Shostack은 15분 내에 의미 있는 위협 목록을 도출할 수 있음을 입증했으며, 이는 CISOs가 AI 보안을 빠르고 저비용으로 확보할 수 있는 진입점을 제공한다.

구글과 모질라가 화요일 다수의 중대 및 높은 심각도 취약점을 해결하는 크롬과 파이어폭스 보안 업데이트를 발표했다. 파이어폭스 154는 58개의 CVE를 포함한 패치를 적용했으며, 이 중 20개의 높은 심각도 결함이 있고 약 절반은 코드 실행으로 악용될 수 있는 메모리 안전 버그이다. 해결된 높은 심각도 문제에는 6개의 use-after-free 결함, 6개의 권한 상승 취약점, 2개의 정보 공개 버그, 1개의 샌드박스 우회 결함, 1개의 사이트 격리 문제, 1개의 완화 우회 약점이 포함된다. 모질라는 또한 썬더버드 154를 55개의 취약점 패치와 함께 출시했다. 구글은 WebGL과 Dawn의 2개 중대 심각도 버퍼 오버플로우 버그를 포함한 15개의 취약점을 해결하는 크롬 151 업데이트를 출시했다.

기업들의 AI 에이전트 도입이 본격화되면서 에이전트가 권한 범위를 벗어나 행동하는 '월권'이 새로운 보안 위협으로 떠오르고 있습니다. 이에 삼성SDS는 AI 에이전트 안전·보안 R&D 실적을 공개하며 실시간 가드레일 및 탈옥 취약점 대응 기술을 확보하고 있고, LG CNS와 SK AX 등 주요 IT 서비스 기업들도 권한 제어, 정책 검증, 사람 승인 절차 등을 포함한 행동 통제 및 거버넌스 체계 구축을 가속화하고 있습니다.

경기대학교는 컴퓨터공학 학생들이 세계 최고 권위의 해킹대회인 'DEF CON 34 CTF' 본선에 진출해 최종 9위와 12위를 기록했다고 밝혔다. 이번 예선에는 전 세계 686개 팀이 참가해 12개 팀만 본선에 올랐으며, 경기대 강호석, 김우진 학생이 각 연합팀의 일원으로 참가했다. 경기대는 SW중심대학사업단을 통해 국제 해킹·보안대회 참가를 지원하며 실전형 보안 전문인재를 양성하고 있다.