발행 글 (6587)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

오픈소스 소프트웨어 공급망 증적 저장소인 Chainloop는 빌드 파이프라인 내에서 생성된 결과물을 수집하여 콘텐츠 주소 지정 가능 스토리지에 업로드하고 서명된 in-toto 증명으로 참조합니다. 보안 및 규정 준수 팀은 워크플로우 계약(Workflow Contract)을 통해 빌드 시 제출해야 할 자료와 환경을 정의하고, Rego 정책을 통해 이를 자동으로 평가하여 서명된 기록에 포함할 수 있습니다. CycloneDX, SPDX, SARIF 등 다양한 보안 및 빌드 증적 형식을 지원하여 파이프라인의 투명성과 검증 가능성을 높입니다.

새만금개발청은 개인정보 보호를 일상 속 실천 문화로 확산하기 위해 8월 10일부터 31일까지 전 직원이 참여하는 캠페인을 진행한다. 이번 캠페인에서는 실천 수칙과 유의사항을 담은 배너 및 포스터 게시, 온라인 퀴즈 이벤트 등을 실시한다. 새만금개발청은 그동안 교육·홍보, 개인정보 처리방침 개정, 이미지 필터링 기술 도입 등을 통해 개인정보 보호 조치를 지속적으로 강화해 왔다.

AI스페라가 전 세계 20개국에서 총 65건의 파트너십 및 기술 연동을 확보하며 해외 시장 공략에 나섰습니다. 최근 1년 동안 12건의 신규 파트너십을 체결해 바레인, 이탈리아, 프랑스 등 7개국에 새로 진출했습니다. 시스코, 크라우드스트라이크, 팔로알토네트웍스 등 글로벌 보안 기업 본사와 직접 계약을 체결하여 협력 관계를 구축하고 있습니다.

AI 기능이 탑재된 전자기기의 확산으로 기기 이용자뿐만 아니라 주변인까지 데이터 수집 대상이 되는 사생활 침해 우려가 커지고 있습니다. 모질라재단의 로런 헨드리 파슨스는 기기 구매자뿐 아니라 주변 사람까지 보호하는 '프라이버시 바이 디자인'과 실질적 사용자 통제의 필요성을 강조했습니다. 이에 대한 기술적 대안으로 데이터를 클라우드로 보내지 않고 기기 내부에서만 처리하는 온디바이스 AI와 제로 트러스트 접근 방식이 제시되고 있습니다.

지니언스는 북한 해킹조직 '김수키'가 로컬 대형언어모델(LLM)과 검색증강생성(RAG) 환경을 직접 구축하여 악성코드 개발 및 공격 자동화를 시도한 정황을 담은 보고서를 공개했습니다. 이들은 가상자산과 금융 분야를 표적으로 삼아 생성형 AI를 활용해 정교한 악성 문서를 유포하고 있으며, 영문 키보드 입력 로그 복원 과정에서 북한식 어휘가 다수 식별되어 배후가 규명되었습니다.

국회 국정조사특별위원회 청문회에서 여야가 지방선거 투표용지 부족 사태와 관련한 공개 재검표 일정을 두고 격돌한 가운데, 중앙선거관리위원회는 투표율 오입력 논란에 대응해 투표 관리 종합시스템을 구축하겠다고 밝혔습니다. 선관위는 투표율 집계 방식을 표본조사로 전환하고, 투표용지 일련번호 등을 활용한 자동 집계 및 이상 수치 발생 시 전산시스템을 통해 자동 경고 알림이 울리도록 하는 개선안을 제시했습니다.

SK쉴더스의 화이트해커 그룹 EQST가 미국 라스베이거스에서 열린 '데프콘 34'의 AI 해킹대회 '할CTF'에서 200여 개 팀 중 최종 5위를 기록했습니다. 이번 대회는 AI 모델을 활용해 침투테스트를 수행하는 AI 에이전트를 만들어 보안 문제를 해결하는 방식으로 진행되었습니다. SK쉴더스는 이번 대회에서 확보한 AI 에이전트 공격 전략과 경험을 AI 서비스 취약점 연구 및 AI 레드팀 기술 고도화에 활용할 계획입니다.

Enpass 는 암호화된 금고에 비밀번호, 패스키, 결제 카드 및 기타 민감한 정보를 저장하는 관리자 도구로, 사용자가 선택한 장치나 클라우드 서비스에서 vault 를 유지합니다. 사용자는 Windows, macOS, Linux, Android, iOS 등 다양한 플랫폼과 Chrome, Edge, Firefox 등의 브라우저 확장 프로그램을 통해 앱을 설치할 수 있습니다.

안드로이드의 '도난 감지 잠금' 기능이 사용자의 달리기 동작을 기기를 낚아채 달아나는 절도 상황으로 오인해 화면을 잠그는 오작동 사례가 발생했습니다. 프로그래머 파비안 기센은 구글 픽셀 7을 들고 달릴 때 화면이 잠겨 앱에서 튕겨 나간다고 밝혔으며, 세밀한 예외 설정이 불가능하다고 지적했습니다. 이 기능은 모션 센서로 도난 가능성이 있는 움직임을 감지하면 자동으로 화면을 잠그는 보안 기능입니다.

카스퍼스키가 협력사 선정 이전부터 협업 기간, 계약 종료 이후까지 공급망 전 주기를 관리하는 '에코시스템 기반 공급망 보안 전략'을 발표했습니다. 계약 이전 단계에서는 국제 보안 인증 요구 및 내부 보안 기준 마련을, 협업 기간에는 EDR·XDR 기반 모니터링과 위협 인텔리전스 연계를, 계약 종료 시에는 접근 권한 비활성화와 데이터 파기 증명서 발급 등의 보안 관리를 제안했습니다. 카스퍼스키는 이러한 공급망 전 과정의 보안 체계 구축과 파트너와의 협력이 사이버 복원력 확보의 기반이 된다고 강조했습니다.

엑스게이트는 자사의 SSL 가시화 솔루션 'SSL INSIDE'로 국가정보원으로부터 보안기능확인서를 획득했다고 밝혔습니다. 이번 확인서 획득을 통해 공공 고객사는 별도의 개별 보안적합성 검증 없이 신속하게 검증된 보안 솔루션을 도입할 수 있게 되었습니다. 엑스게이트는 이를 기반으로 향후 공공 보안 시장에서 SSL 가시성 사업을 확대할 계획입니다.

세계 최대 해킹방어대회 데프콘 CTF 34에서 한국 연합팀 '0x4b52'가 2위, 'SuperDiceCodeLovers'가 3위를 기록하며 상위권에 올랐습니다. 또한 SK쉴더스의 화이트해커 그룹 이큐스트(EQST)는 AI 에이전트를 활용해 보안 문제를 해결하는 AI CTF 대회에서 최종 5위를 차지했습니다. 이번 대회에는 차세대 보안리더 양성 프로그램(BoB) 멘토와 수료생, 금융보안원, 엔키화이트햇 등 국내 보안 연구원들이 다수 참여해 활약했습니다.