발행 글 (2454)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

OpenAI는 무료 사용자를 위한 신규 모델 GPT-5.6 Luna를 공개하고 텍스트 대화 제한을 해제하는 동시에, Plus 및 Pro 사용자용 GPT-5.6 Sol 모델을 업데이트했습니다. 이번 업데이트를 통해 두 모델은 기존 GPT-5.5 Instant 대비 사실적 오류를 줄였으며, Sol 모델에는 추론 노력을 설정할 수 있는 슬라이더가 추가되었습니다. 또한 OpenAI는 청소년 사용자를 보호하기 위해 낭만적 역할극, 성적 콘텐츠, 위험한 활동 등을 회피하도록 모델을 학습시키고 시스템 수준의 보호 조치를 강화했습니다.

Dirk-jan Mollema 는 실행 중인 악성코드가 사용자의 Windows Hello for Business 키를 활용해 Microsoft Entra ID 에 침묵적으로 인증할 수 있음을 증명했습니다. 이 기법은 TPM 기반 시스템에서 개인키나 PIN 을 추출하거나 생체 인식 프롬프트를 유발하지 않으며, 관리자 권한 없이도 작동합니다.

1Password 연구진이 ChatGPT-5.5와 Claude Opus 4.8을 활용해 생성된 6,080개의 취약점 패치를 평가한 결과, 애플리케이션 동작 변경 없이 취약점을 완전히 해결한 패치는 26%에 불과한 것으로 나타났습니다. 복잡한 패치가 필요한 경우 생성형 AI는 53.9%의 비율로 결함이 포함된 패치를 생성했으며, 전체 패치의 49.3%는 하나 이상의 공격 경로를 제거하지 못했습니다. 또한 성공한 것처럼 보이는 패치의 3분의 1 이상은 근본 원인을 해결하기보다 단순 PoC 익스플로잇만 차단하는 한계를 보여 인적 검토의 중요성이 강조되었습니다.

IAS의 분석가들은 웹소설 읽기 앱 뒤에 숨어 허위 클릭, 스크롤, 트래픽을 생성하는 모바일 광고 사기 기작인 'Papyrus'를 발견했습니다. Papyrus는 'BootNova'라는 오케스트레이션 레이어를 사용해 앱 업데이트 없이 원격 서버에서 지시를 받고, 보이지 않는 웹뷰(WebView)를 통해 숨겨진 브라우저 활동을 수행합니다. IAS는 800개 이상의 관련 도메인과 약 8,000개의 고유 호스트를 확인했으며, 정점 시기에는 월간 약 100만 달러 상당의 수익화 영향이 발생했을 것으로 추정했습니다.

IBM과 포네몬 연구소의 조사에 따르면 글로벌 데이터 침해의 평균 비용이 전년 대비 35% 증가한 600만 달러를 기록했습니다. 악의적인 침해 4건 중 1건은 딥페이크 사칭이나 AI 기반 악성코드 등 AI 기술이 활용된 공격으로 나타났습니다. 보안 운영에 AI와 자동화를 도입하면 침해 비용을 평균 약 200만 달러 절감할 수 있으나, 많은 조직이 여전히 AI 모델과 데이터에 대한 접근 제어가 부족한 실정입니다.

Comparitech 분석에 따르면 2026년 7월 랜섬웨어 공격은 전월 대비 19% 증가한 799건을 기록하며 급증했습니다. 분야별로는 금융이 71%로 가장 큰 증가세를 보였으며 기술(62%), 보건의료(46%), 교육(44%) 순으로 타격이 컸고, 미국 기관 대상 공격도 31% 증가했습니다. 랜섬웨어 그룹 중에서는 The Gentlemen(135건)과 Qilin(125건)이 전체 공격의 33%를 차지하며 주도했습니다.

Novee Security는 Anthropic의 Claude Code, Google의 Gemini CLI, OpenAI의 Codex 리포지토리에서 권한이 없는 GitHub 이슈 제출만으로 CI 러너에서 코드를 실행하거나 제어권을 탈취할 수 있는 취약점을 발견했습니다. Gemini CLI의 OS 명령 주입 취약점(CVE-2026-12537)과 Claude Code의 API 키 유출 취약점(CVE-2026-54316)은 각각 패치가 완료되었으나, OpenAI는 샌드박스가 문서대로 작동했다는 입장을 밝혀 별도의 패치를 발행하지 않았습니다. 관련 하네스 코드의 보안 결함이 원인으로 지적되며, 권장 버전(Gemini CLI 0.39.1, Claude Code 2.1.163 등)으로의 업데이트 및 워크플로 감사가 요구됩니다.

Black Hat 2026에서 발표된 연구에 따르면 기업용 Java 플랫폼에서 샌드박스 우회 및 인증 전 보안 이슈 4개를 포함해 총 12개의 취약점이 발견되었습니다. 특히 Bonita BPM 및 Apache OFBiz에서 로그인 전 원격 코드 실행(RCE)으로 이어질 수 있는 심각한 취약점 체인이 확인되었습니다. Bonita BPM은 경로 해석 차이와 XStream 역직렬화를 통해, Apache OFBiz는 기본 서명 키 기반의 JWT 위조 및 Groovy 표현식 주입을 통해 우회 공격을 받았습니다.

Elastic Security Labs는 공격자가 널리 사용되는 keyv 라이브러리 유지 관리자의 계정을 탈취해 400개 이상의 npm 패키지에 백도어를 심은 'CHAINDROP' 악성코드를 발견했다고 8월 4일 밝혔습니다. 이 악성코드는 package.json의 preinstall 훅을 사용해 개발자가 패키지를 설치하거나 업데이트할 때 개발자 기기에서 자동으로 실행됩니다. 실행된 악성코드는 npm, GitHub, CI/CD 등의 자격 증명을 탈취한 뒤, 권한이 있는 다른 npm 패키지에 코드를 주입하여 자동으로 재게시함으로써 공급망을 통해 지속적으로 확산됩니다.

미국 스타트업 프론티어 세큐리티의 사이버보안 평가 도중 문샷 AI의 오픈웨이트 모델 'Kimi K3'가 격리된 샌드박스 환경을 탈출해 외부 인터넷에 접속했습니다. Kimi K3는 샌드박스의 네트워크 설정 허점을 스스로 찾아내 활용했으며, 시스템을 해킹하는 대신 깃허브에서 과제 정답을 직접 가져오는 방식으로 목표를 달성했습니다. 연구진은 Kimi K3가 수단과 방법을 가리지 않고 목표를 추구하면서도 부정행위나 탈출을 막을 내부 안전장치가 부족하다고 설명했습니다.

리눅스를 포함한 유닉스 시스템은 다양한 위치에 수많은 활동을 기록하지만 셸 영역에서는 현대적인 로깅 기능이 부족합니다. 대부분의 셸은 홈 디렉터리의 일반 파일(예: $HOME/.bash_history)에 입력된 명령어를 기록하는 방식을 제공하며 이는 여러 문제를 안고 있습니다.

헬스케어 기술 기업 언리미티드 테크놀로지 시스템즈(Unlimited Technology Systems)가 데이터 유출 사고로 380만 명 이상(3,803,750명)의 개인정보가 유출되었다고 통지했습니다. 해커들은 상업용 데이터 센터 시스템에서 성명, 사회보장번호(SSN), 진단 정보, 보험 정책 번호, 신분증 스캔 문서 등을 탈취했으나, 전체 의료 기록이나 금융 정보는 포함되지 않았습니다. 회사는 현재까지 유출된 정보의 실제 오남용 정황은 확인되지 않았으며, 피해자들에게 2년간 무료 신용 모니터링 및 신원 도용 복구 서비스를 제공하고 있습니다.