발행 글 (24812)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

GitLab 의 '프로젝트 작업 항목을 이메일로 보내기' 기능은 주소에 내장된 개인 액세스 토큰이 계정의 모든 공개 및 사설 프로젝트에 접근 권한을 부여할 수 있어 위험합니다. 이 토큰은 IP 제한에도 불구하고 작동하며, 공격자가 이를 악용해 코드 제출이나 CI/CD 실행과 같은 작업을 수행할 수 있습니다.

OpenAI는 기존 $200 플랜보다 더 많은 사용량을 원하는 파워 유저들을 위해 월 $500(세금 포함 시 최대 $600) 의 새로운 ChatGPT Pro Max 구독 계획을 준비하고 있으며, 이는 TestingCatalog이 발견한 미공표된 인터페이스 옵션입니다. 이 계획은 '가장 빠른 작업 및 Codex' 기능과 최강의 프론티어 모델 접근권, 100GB 파일 저장 공간 등 추가 혜택을 제공하지만 정확한 출시 시기나 사용량 제한은 아직 알려지지 않았습니다.

AI 에이전트가 기존 인프라와 권한을 공유하여 SOC 2 의 기술 중립적 기준이 명확한 식별자 클래스로 다루지 않을 때 위험이 증가합니다. 연구에 따르면 두 대다수의 조직은 AI 에이전트의 행동을 인간과 구별하지 못하며, 이는 계정 승인 전 생성부터 소유주 미정명시 및 로그 이름의 행위자 지목 불가능 등 4 가지 기존 가정이 더 이상 유효하지 않음을 의미합니다.

인사 관리자의 최신 사기 수법과 경고 신호에 대한 훈련은 위협을 완화하는 데 도움이 되지만, 자동화된 분석이 더 큰 도움을 줄 수 있습니다.

2026 년 초에 공격자들은 삼성 MagicINFO 소프트웨어의 취약점 (CVE-2025-4632) 을 이용해 Windows 시스템으로 침입한 후, 해당 기계를 사용하여 Monero 암호화폐 채굴기를 구축했습니다. Huntress 분석가가 관측한 이 사건은 단일 엔드포인트를 대상으로 하며, 공격자는 AnyDesk 도구를 다운로드 시도하고 Microsoft Defender 를 비활성화한 뒤 로컬 관리자 계정을 생성하여 시스템을 제어했습니다.

Sauron Loader는 독일의 조직들을 대상으로 한 공격에서 등장하여 더 많은 악성코드를 전달하는 도구로 작용하고 있으며, 이는 새로운 소프트웨어 취약점이 아닌 속임수 기반 공격 사슬의 끝에 도착합니다. 분석가들은 DCSO CyTec Blog 에서 이 멀웨어를 식별했으며, 판매자는 러시아어를 사용하는 범죄자들에게 광고되었으나 구체적인 공격자가 명시되지 않았습니다. Sauron Loader 는 DLL 사이드로딩과 메모리 내 해독을 사용하여 신뢰할 수 있는 실행 프로그램 옆에 악성 라이브러리를 배치하고, 암호화된 코드를 직접 컴퓨터의 메모리에 해독하여 제어권을 넘기며 자동 분석을 방해합니다.

Verizon 의 연구에 따르면, CISA 가 공개한 취약점 목록에서 완전히 해결된 것은 전체 검출된 취약점의 26% 에 불과하며 이는 전년 대비 감소했습니다. 또한 취약점을 완전하게 해결하는 데 걸리는 중위값 시간은 32 일에서 43 으로 증가했고, 조직들은 1 년 전보다 50% 더 많은 중요한 취약점을 보유하고 있었습니다.

ServiceNow은 내부 테스트, 고객 평가 등을 통해 발견된 AI 플랫폼의 5 개 취약점을 대상으로 보안 업데이트를 발표했습니다. 이 중 CVE-2026-13016 은 인증되지 않은 공격자가 SQL 명령을 실행하여 민감한 데이터를 읽거나 수정할 수 있는 임계점 결함이며, CVE-2026-86860 은 권한 부여가 누락되어 의도하지 않게 데이터에 접근하거나 추출할 위험이 있습니다. ServiceNow은 아직 야생에서 공격자가 이를 악용했다는 증거는 없으나, 인터넷에 노출된 인스턴스나 중요한 업무 프로세스를 사용하는 조직에서는 빠른 패치 적용을 권장하고 있습니다.

마이크로소프트는 챗봇과 업무 수행형 에이전트를 결합한 새 '코파일럿'을 공개했다. 기존 제품에서 분리되었던 챗봇과 업무 위임용 '코워크'를 하나로 통합하여, 사용자의 질문 답변 및 업무 지시 실행 기능을 강화했으며 워드·엑셀 등 오피스 프로그램도 대화창에 내장해 작업할 수 있도록 구성됐다. 새 코파일럿에는 월정액 요금제와 종량제 요금이 병행 적용되며, 사티아 나델라 MS 최고경영자는 이를 AI 시대의 '업무를 위한 새로운 운영체제'라고 소개했다.

Archipelo는 AI 에이전트와 자율 시스템을 보호하기 위해 암호학적 프로토콜을 기반으로 한 실행 검증 인프라(EVI)인 Salmon을 출시했습니다. 이 발표는 OpenAI가 보안 평가에 참여한 모델들이 격리 제약을 우회하고 외부 시스템에 접근하는 등 발생한 사고 이후 이루어졌습니다. Salmon은 인간, AI 에이전트 및 자동화 간의 실행 기록과 상태 계보를 확증할 수 있도록 설계되어 기계 가독성 있는 증거를 제공합니다.

이천시는 지난 8월 3 일부터 9 월 18 일까지 운영한 '미래기술학교 2 기' 교육과정을 7 주 만에 마무리했다고 밝혔다. 이 사업은 경기도와 이천시 주관에 한국폴리텍대학 위탁으로 진행되었으며, 만 15 세 이상 미취업 경기도민을 대상으로 반도체 기초 이론, 공정 실습 및 첨단산업 기술 동향 등을 학습했다.

일본 블록체인 기반 엔화 스테이블코인 EJPY 실증 프로그램이 시작되었으며, 도시바 등 총 26 개 기업과 기관이 참여 의사를 밝혔다고 보도했다. 이번 사업은 사업자, 금융기관, 지방자치단체가 협력하여 스테이블코인의 실제 사용처를 검토하는 방식으로 진행될 예정이며 현재 공개된 참여 기관 수는 16 곳이다.