3분 만에 읽는 핵심 브리핑
- 이메일 액션 토큰 없이 날아든 조작 요청 한 건이 관리자 포함 전 계정을 통째로 여는 Keycloak 결함(CVSS 9.1)부터, Falcon·SentinelOne·Defender의 커널 콜백을 취약 서명 드라이버로 끊은 채 유출 트래픽을 정상 Nacos 서비스에 섞는 SPECTRE까지—관문은 번번이 방어자가 발행한 가장 싼 신뢰 토큰 한 장으로 열렸고, 그 신뢰가 곧 공격자의 신분증으로 쓰이고 있다.
- 시그니처 방어 체계의 무력화가 국가안보실 회의에서 공식 확인됐고, 확산 29분·무기화 4시간의 시계 앞에서 GitLab 취약점(CVSS 9.4)마저 공개 수일 만에 인증 없는 공격자에게 악용되는 동안, 기업 AI 대화 47.11%는 관리 밖 개인 신원을 흐르고 확장 16.31%는 알려진 CVE를 품은 그림자 인프라가 다음 관문으로 이미 시공 중이다.
- ReliaQuest만이 view-only 세션 권한으로 침해를 끊었다는 사실을 원칙으로 승격시켜야 한다—헬프데스크·푸시 승인 뒤 도달하는 ID 플랫폼 세션에 최소 권한과 세션 기반 접근 통제를 오늘 적용하고, Keycloak 패치 전 모든 realm의 Forgot password를 끄며, 취약 서명 드라이버 로드를 커널 정책으로 차단한 뒤 GitLab 사용 버전을 오늘 안에 전수 확인해 긴급패치를 내린다.
보안 사고/이슈
침투의 문은 방화벽이 아니라 전화 한 통, 푸시 승인 한 번으로 열린다
공격자들이 네트워크 경계 대신 신뢰 채널과 인증 순간을 초기 침투 수단으로 삼는 문법이 이번 클러스터 4건을 관통한다. IT 헬프데스크 테마 비싱으로 북미·호주·영국의 프라이빗 이퀴티·금융·전문 서비스 조직을 때린 BlackFile(UNC6671)은 1월부터 5월까지 비트코인 몸값만 1,000만 달러 이상 챙겼고, 관리 자산 약 1조 500억 달러 규모의 아폴로 글로벌 매니지먼트도 7월 6일부터 10일까지 사회공학 공격에 일부 클라우드 플랫폼 접근을 내주고 이름·연락처·SSN 포함 개인정보 유출 가능성을 인정한 뒤 신원 보호·크레딧 모니터링 서비스 제공에 나섰다. ShinyHunters는 'company.claims' 패턴 가짜 도메인에 ReliaQuest SSO 피싱 페이지를 띄우고 보안 직원 이름을 사칭한 전화로 임직원을 끌어들였으며, 직원 1명이 비밀번호와 모바일 푸시 승인을 넘기는 순간 공격자가 Okta identity dashboard view-only 세션을 손에 넣었다. 국정원·경찰청 합동권고문이 보안 관리가 미흡한 소규모 웹사이트를 악성코드 유포 발판으로 쓰는 워터링홀의 지속을 경고한 가운데 EmEditor 다운로드 페이지 해킹은 연말·연휴 인력 공백기를 정조준했고, SynkLoader는 Microsoft 365 기본 도메인(@.onmicrosoft.com)과 Azure Blob 스토리지 엔드포인트를 사칭해 7개 모듈을 심었다. WordlistLoader는 셸코드를 영어 단어 시퀀스로 인코딩하고 하드웨어 브레이크포인트 방식으로 ETW를 우회하며, ClickFix는 블록체인 스마트 계약(EtherHiding)과 cdn.jsdelivr[.]net CDN을 결합해 악성 URL을 즉시 갈아끼운다. 이 조합이 정적 시그니처 분석과 ETW 기반 EDR, URL·도메인 차단을 동시에 무력화한다. 네 건 모두 사람 계층에서 시작했지만 피해 크기를 가른 건 세션 이후 권한 설계였고, ReliaQuest는 기존 보안 통제가 추가 ID 접근·비즈니스 앱 도달·고객 데이터 유출·영속성 확립 시도를 전부 걸러내 view-only 세션에서 침해를 끝냈다. 헬프데스크·법무팀 사칭 전화와 푸시 승인 뒤에 도달하는 ID 관리 플랫폼 세션에 최소 권한 부여와 세션 기반 접근 통제를 걸어, 한 번의 승인이 관리 콘솔 전체로 번지지 않는 구조를 짜야 한다.
관련 뉴스:
- 디지털데일리 - 때를 기다리는 잠복형 해커들…'워터링홀 공격' 기승
- securityweek - Personal Information Exposed in Apollo Global Data Breach
- thehackernews - WordlistLoader Delivers Amatera via ClickFix, SynkLoader Phishes Windows Passwords
- securityweek - ReliaQuest Confirms ShinyHunters Hack, but Says Impact Was Limited
ATM 커버를 벗기고, EDR 커널 콜백을 끊고, 토큰 없이 비밀번호를 바꾼다 — 방어의 전 층위를 노린 일주일
ATM에서 발전소, 웹서버 커널, 인증 서버, 오픈소스 의존성까지, 공격과 결함이 방어 스택의 층위 전부를 같은 주에 건드렸다. ATM jackpotting은 외부 커버를 벗겨 노트북으로 악성코드를 심어 현금 전체 지급을 지시하는 방식으로 2020년 이후 약 1,900건에 작년 한 해 손실 $20M를 넘겼고(FBI 집계) Nebraska 연방법원이 TdA 소속 피의자 119명을 기소했으며 법원은 $3.5M 이상 손실을 일으킨 Gouveia-Aguilera에게 개인 단위 최장형인 96개월을 선고했고, 이란 연계 해커가 2026년 7월 영국 발전소 가동을 4일간 멈춘 사건은 NCSC가 공식 발표를 내지 않으면서 텔레그래프(8월 22일) 보도가 사실상 유일한 정보원으로 남았다. 엔드포인트와 네트워크에서는 Cisco Talos가 짚은 UAT-10147이 PentestGPT·DeepAudit·ysoserial을 재인식부터 지속성 확보까지 침투 사이클 전 단계에 끼워 17개 파일에 나눈 약 17만 개 URL로 교육·미디어·기술·게임 섹터의 Windows/Linux 웹서버를 두들렸고, SPECTRE 백도어는 BYOVD(CVE-2019-16098 RTCore64.sys, CVE-2021-21551 DBUtil_2_3.sys)로 CrowdStrike Falcon·SentinelOne·Microsoft Defender의 커널 콜백을 unlink한 채 탈취 트래픽을 정상 Nacos 설정 관리 서비스에 섞어 보냈으며, 미얀마 정부를 노린 QUICAgent는 UDP 443의 QUIC로 5초 간격 beacon을 쏘며 TCP 기반 탐지 규칙 바깥에서 돌아다녔다. Keycloak reset-credentials 결함(CVE-2026-18963, CVSS 9.1)은 조작된 요청 한 번으로 이메일 액션 토큰 없이 세션을 비밀번호 업데이트 단계로 넘겨 관리자를 포함한 전 계정 탈취 길을 열었고(Red Hat이 8월 19일 Keycloak 26.7.2·RHBK 26.4.15/26.6.6 패치를 배포했다), 같은 주에 Broadcom의 Spring 개발팀이 20만 개 이상 컴포넌트에 영향을 주는 91개 취약점을 한꺼번에 막으면서 상반기 누적 200개 초과가 2025년 16개, 2024년 22개와 격차를 벌렸다(Sonatype은 Broadcom의 AI 활용을 증가 요인으로 꼽았다). Keycloak을 IdP로 쓰는 인증 체인은 결함 하나에 단일 요청으로 전 구간이 열리는 구조를 갖고 있고, 커널 콜백이 끊긴 세션과 UDP 443 QUIC beacon은 EDR 콘솔과 경계 규칙이 못 잡는 구간에서 움직이며, Spring 91건을 미룬 의존성은 CISA KEV에 오른 동일 계열 취약점의 in-the-wild 익스플로잇과 그대로 맞닿는다. RTCore64.sys·DBUtil_2_3.sys 계열 취약 서명 드라이버의 로드를 커널 정책으로 차단하고, 아웃바운드 QUIC 트래픽을 강제 프록시로 묶고, Red Hat errata와 Spring 91건을 이번 주 배치 주기에 올리며, 패치 적용 전 모든 realm의 Forgot password를 끄는 네 가지를 인프라 기본값으로 박아야 한다.
관련 뉴스:
- securityweek - Venezuelan Gets Record Federal Prison Term for ATM Jackpotting
- securityweek - Iran-Linked Hackers Shut Down UK Power Plant for Four Days
- thehackernews - UAT-10147 Uses AI to Scale Server Attacks, Deploys SPECTRE With EDR Bypass and Linux Rootkit
- securityweek - 91 Vulnerabilities Patched in Spring Application Framework
- thehackernews - Keycloak 비밀번호 재설정 취약점(CVE-2026-18963)으로 인증되지 않은 공격자가 모든 계정 탈취 가능
- thehackernews - Operation QUICSILVER Targets Myanmar Government and IT with QUICAgent Backdoor
정부 정책
주권 AI 모델은 GPU 임대 수준, 과징금 잣대는 예방 투자로 옮겨갔다
정부 사이버보안 정책이 주권 AI 모델 개발과 규제 패러다임 전환이라는 두 트랙에서 동시에 움직인다. SK와 네이버가 주도하는 컨소시엄에 공공사업 단골로 통하는 보안 기업들이 대거 합류해 정부 사이버보안 특화 AI 파운데이션 모델 개발 사업에 진출했고, 한정된 예산 탓에 GPU 임대 수준에 그칠 수 있다는 우려와 함께 앤트로픽이 4월 공개한 '미토스'급 모델 개발에 필요한 지원 규모가 턱없이 부족하다는 평가가 이어진다. 미국과 영국은 민관 협력으로 자국 중심 AI 보안 모델을 빠르게 세우는 동안 한국의 해외 기술 의존이 장기적 안보 공백으로 이어진다는 지적이 나오고, 국가안보실은 올해 고위험 AI 관계부처 회의에서 AI가 제로데이 취약점을 실시간 발굴하고 공격 코드를 자동 생성하는 환경이 기존 규칙 기반 방어 체계의 한계를 드러낸다는 점을 확인했다. 개인정보위는 과징금 산정에 기업의 예방 투자와 사고 대응 노력을 반영하는 인센티브 체계와 반복 위반 가중 기준을 마련했고, 기관별 최소 필요인력 기준을 근거로 중앙행정기관 전담 인력 54명을 확충했다. 2026년 개인정보 보호수준 평가는 학계·법조계·산업계 전문가 100명으로 꾸린 평가단이 중앙행정기관·산하 공공기관·지자체·지방공기업 등 1458개 기관을 상대로 자체평가와 심층평가를 병행하며 현지 실사를 수행한다. 공공 부문 보안 조직은 형식적 의무 이행 점검에서 벗어나 외부 전문가의 업무 적절성 검증을 정면으로 받는 국면에 들어섰고, 과징금 규모를 사고 이전의 예방 투자와 사고 직후의 대응 이력이 좌우한다. AI가 만들어내는 제로데이를 규칙 기반 시그니처가 막지 못한다는 회의체의 진단을 탐지·대응 체계 설계 전제로 삼고, 심층평가와 과징금 산정에 그대로 올릴 예방 투자와 침해 대응 이력을 증빙 단위로 남겨둬야 한다.
관련 뉴스:
- 디지털데일리 - [취재수첩] K-미토스, 그들만의 잔치라도 출발점 찍어야
- 디지털데일리 - 인력 확충·인센티브 마련…개인정보위, 우수 직원에 고래상 시상
- 디지털데일리 - 공공기관 개인정보 보호 수준은?…2026년도 평가단 위촉
4억 달러 합의금, 8억 2,500만 유로 과징금—규제기관이 들춰낸 건 동의 누락과 무검토 자동화였다
동의 절차 누락, 삭제 요청 방치, 인간 검토 부재가 곧 억 단위 제재의 값을 정했다. TikTok과 ByteDance는 13세 미만 아동의 개인 정보를 부모 동의 절차 없이 수집했고 부모가 삭제를 요청한 계정도 지우지 않았다고 법무부 소장이 지목했으며, 미국 법무부가 2024년 제기한 연방 아동 개인정보 보호법 위반 소송을 TikTok이 4억 달러에 종결했다. 지급 구조는 3억 달러를 즉시 낸 뒤 법원이 선대 기업 Musical.ly에 붙은 기존 동의명령을 폐지하면 1억 달러를 더하는 방식이다. 네덜란드 데이터보호청은 Uber가 2018년부터 2022년까지 인간 검토 없이 자동 소프트웨어로 드라이버 계정을 영구 중단하고 자동 의사결정 사실조차 통지하지 않은 점에서 GDPR 위반을 확인해 8억 2,500만 유로(9억 6,400만 달러)를 물었고, 같은 청의 Uber 과징금 네 번째로 직전 최대액인 2024년 2억 9,000만 유로를 세 배 가까이 올린 액수인데 Uber는 항소하겠다고 공식 발표했다. Meta는 캘리포니아 오클랜드 연방법원에서 COPPA와 개별 주 법률 위반 혐의 재판을 받는 중이고, TikTok은 2026년 1월 Oracle·Silver Lake·MGX 투자 합의로 TikTok U.S. 합작회사를 세웠으며 아동 개인정보 준수 의무가 이 합작법인 차원으로 옮겨갔다. COPPA 소송이 TikTok과 Meta를 동시에 붙잡고 한 규제기관이 Uber에 과징금을 네 번째로 매기는 패턴 속에서 동의 이력, 삭제 처리 기록, 자동화 운영 로그 같은 평범한 운영 레코드가 제재 산정의 물증 목록 맨 앞에 올랐다. 미성년 식별 시점의 부모 동의 확보와 삭제 요청 이행을 데이터 수집·폐기 파이프라인에 직접 묶고, 인간 검토 단계와 당사자 통지 장치 없이 계정을 정지·처분하는 자동화 로직을 전수 대조해 그 구멍을 아키텍처 레벨에서 막아야 한다.
관련 뉴스:
- securityweek - TikTok Reaches $400 Million Settlement With US Justice Department Over Children's Privacy
- securityweek - Uber Fined Nearly $1 Billion by Dutch Regulators Over Automated Suspensions of Driver Accounts
기술 동향
침입 확산 29분·무기화 4시간, AI가 앞당긴 공격 시계 앞에서 패치 주기 방어가 무너진다
AI가 취약점 발굴·익스플로잇 개발·침입 확산의 시계를 시간과 분 단위로 압축하면서 사람이 알림을 선별하던 관제·패치 체계의 전제 자체를 무너뜨렸다. 크라우드스트라이크 '2026 글로벌 위협 보고서'는 AI 기반 공격 활동 증가율을 전년 대비 89%로, 평균 침입 확산 시간을 2024년보다 65% 짧아진 29분으로 집계했고 F5 필드 CISO 조슈아 골드파브는 취약점 무기화 평균 기간이 2018년 771일에서 2026년 4시간으로 짧아질 것으로 내다봤다. 인증을 거치지 않은 공격자가 GitLab CVE-2026-19478(CVSS 9.4) 코드 인젝션 취약점을 공개 수일 만에 악용해 공개 프로젝트의 데이터를 수정·삭제·재작성했다고 watchTowr이 확인했고, 미국 정부 역시 Censys·ZoomEye 같은 합법 스캐닝 서비스로 표적 PLC를 골라 모니터링 도구로 위장한 AI 생성 익스플로잇 스크립트를 배포하는 세력에 대해 "이론적 위험이 아니라 활동적 위협"이라고 공식 경고했다. 방어 진영의 답은 에이전틱 SOC로 수렴한다. 마이크로소프트가 하루 100조 건 이상의 보안 신호와 160만 고객사 데이터 위에서 레드팀·블루팀·그린팀 에이전트가 협력하는 '프로젝트 퍼셉션'을 공개했고 팔로알토 네트웍스는 Cortex 중심의 '에이전틱 SOC' 전략을 추진 중이며, 메타넷엑스는 정형 이벤트를 RegEx로, 변칙 위협을 AI로 가르는 하이브리드 관제에서 이벤트 처리 시간을 평균 20분 이상에서 수 분 이내로 줄이고 위협 분석 정확도를 75%에서 90% 이상으로, 오탐률을 30%에서 한 자릿수로 끌어냈다. 클라우드·컨테이너·SaaS 확산으로 이벤트가 폭증하는 유통·게임·글로벌 엔터프라이즈는 이 속도 격차를 IT 이슈가 아니라 비즈니스 연속성 리스크로 직접 치르고 있으며, 최종 조치 실행·그레이존 판단·서비스 영향도 고려를 사람이 쥐는 역할 분담 설계가 자율형 SOC 전환의 실체다. 패치 속도 경쟁을 접고 정확한 자산 인벤토리와 연속 리스크 평가·취약점 스캐닝을 바닥에 깐 뒤, 시그니처가 잡지 못하는 신종 공격을 런타임에서 잡아내는 다층 방어로 애플리케이션·API·LLM 프롬프트를 관통하는 AI 레이어까지 아우르는 아키텍처를 다시 짜야 한다.
관련 뉴스:
- 디지털데일리 - AI 공격 확산에 자율형 SOC로 패러다임 전환
- securityweek - Rethinking Application Security for the AI Era
- thehackernews - AI 기반 Siemens PLC 공격, GitLab 취약점 악용, Stripe 키 유출 등 주간 보안 리캡
전 AI 스택의 통제 입증이 계약 조건으로 굳어가는데, 기업 AI 대화의 절반가량은 개인 신원으로 흘러간다
AI 도입의 승패를 가르는 기준이 데이터 저장 위치에서 데이터·모델·인프라·운영·거버넌스 전 스택의 입증 가능한 통제로 넘어갔는데, 정작 기업 AI 대화의 47.11%가 관리 계정이 아닌 개인 신원을 거친다. 한국오라클 나정옥 부사장은 규제 당국과 고객이 데이터 저장 위치에 그치지 않고 처리 장소, 접근 주체, 시스템 운영 주체, 통제 입증 가능성까지 요구하고, 신용 평가·자격 심사에 AI를 쓰는 기업은 사용 데이터·모델과 의사결정 과정의 추적·검증 가능성까지 입증해야 한다고 짚었으며, 소버린 AI를 전 스택에 디지털 주권 원칙을 적용하는 운영 모델로 정의했다. Akamai의 State of the Internet: Enterprise AI Usage Risk Report 2026은 상위 5% 파워유저가 하위 50% 직원의 12배 비율로 AI 모델과 상호작용하고, 개인 신원 대화의 14.4%가 기업 이메일로 등록된 freemium 구독을 거치며, 중규모 기업 직원 17.7%가 쓰는 AI 확장 가운데 약 75%가 고위험·비판적 권한을 요청하고 16.31%가 알려진 CVE를 품고 있다고 집계했고, AI_CONFIG.md를 조작하는 Vibe Hacking, rogue 확장으로 API 키와 세션 토큰을 노리는 CursorJacking, 악성 웹페이지로 간접 프롬프트 인젝션을 거는 CometJacking을 신규 공격 벡터로 짚었다. McKinsey가 2026년 초 3,000명 이상의 기업 기술 구매자를 상대로 한 설문에서 응답자 과반이 데이터 개인정보 보호와 컴플라이언스를 단일 최우선 고객 우려로 꼽았고, 전년 내 공급자를 바꾼 구매자들은 사이버보안을 가격·커버리지·신뢰성보다 앞선 1순위 이탈 사유로 지목했으며, PwC 설문의 경영진 72%는 지난 3년간 컴플라이언스 복잡성이 수익성을 깎았다고 답했다. 채용 때는 기술 전문성으로, 이사회 평가 때는 비용·성장·고객 신뢰로 갈리는 구조적 격차가 재임 기간을 짧게 눌러왔고, 연 1회 감사 통과용으로 짜인 프로세스는 실시간 통제 실효성을 입증하지 못해 파이프라인 전반에서 딜 지연을 반복한다. 증거 라이브러리 하나로 보안 리뷰를 수 주에서 당일 응답으로 앞당긴 Andesite 사례처럼, 프롬프트·임베딩·추론 결과·시스템 로그를 담는 입증 체계를 물리적 인프라 분리, 네트워크 격리, 암호화 통제, 제한된 접근 경로를 아키텍처 자체에 내재화한 기반 위에 세우는 설계부터 다시 짜봐야 한다.
관련 뉴스:
- 디지털데일리 - AI 시대의 경쟁력, 데이터와 인프라에 대한 '통제권'이 결정한다
- thehackernews - The Outsized Shadow: Why 5% of AI Users Are Your Biggest Security Risk
- securityweek - Hired for One Job, Judged on Another: The CISO's Real Problem
기업·투자·행사
보안 시장의 화폐가 장비에서 현장 지식과 인력으로 바뀌었다
국내 보안 산업의 승부처가 단일 제품 판매에서 수직통합 서비스와 인재 이식으로 옮겨가고 있다. SK쉴더스와 엘림넷은 지난 21일 판교사옥에서 협약을 맺고 24시간 보안관제(MSS)와 위협 탐지·대응(MDR)에 병원정보시스템(HIS)·전자의무기록(EMR) 연계 경험을 결합한 의료기관 통합 보안서비스를 공동 추진한다. 한국사회보장정보원 집계 기준 의료기관 침해사고는 2020년 18건에서 2024년 71건으로 3.9배 늘었고 향후 5년 누적 손실 전망은 1조5324억 원에 달한다. 한싹은 CDS·통합접근제어·패스워드 관리·SSL 가시성·일방향 전송 제품군과 인콤·에이치에스시큐리티 편입으로 2분기 매출 64억 원(전년 동기 대비 39% 증가)을 올리며 전년 8억 원 적자에서 영업이익 13억 원으로 돌아섰고, SSL 가시성 솔루션 '블루킨 VA'는 보안기능확인서와 조달청 등록으로 공공·금융 시장의 문을 열었다. 엔키화이트햇이 페루 국립공과대학교(UNI)에 실전형 훈련 플랫폼 'OFFen CAMP' 운영법과 AI 기반 공격·사회공학·CTF 실습을 넘겼고, 스틸리언 컨소시엄은 인도네시아 BSSN 산하 PSSN 교수진 10명을 21주 연수해 현지에 설립할 사이버보안 교육훈련센터(CSVC)를 맡을 교육자를 길러냈다. 이 흐름 속에서 구매 잣대도 제품 스펙에서 운영 역량과 로드맵 동기화로 옮겨가며, 국가정보원의 국가망보안체계(N2SF) 전환과 양자내성암호(PQC) 표준화가 계약 갱신의 기술 요건으로 굳어간다. HIS·EMR 접근 구간의 MSS·MDR 연동 대응 절차를 통합 서비스 계약 조건에 못 박고, N2SF 전환 일정과 PQC 적용 계획을 벤더 평가표의 필수 항목으로 올려야 한다.
관련 뉴스:
- 디지털데일리 - SK쉴더스-엘림넷, 의료기관 특화 '통합 보안서비스' 추진
- 디지털데일리 - 한싹, 2분기 영업익 13억원 흑자 전환…보안 솔루션 다각화 효과
- 정보통신신문 - 엔키화이트햇, 페루 국립공과대 교수·학생 대상 오펜시브 보안 교육
- 정보통신신문 - 스틸리언, 인도네시아 사이버보안 교수진 21주 집중 연수 성료
- 정보통신신문 - SK쉴더스-엘림넷, 의료기관 통합 보안서비스 공동 추진
AI 코딩이 쌓은 remediation debt, 방어 특화 AI가 청산한다
AI 코딩 도구가 open-source package를 환경에 추가하는 속도가 보안팀의 remediation 역량을 초과하며 쌓는 부채가 구조적 병목으로 자리 잡았고, 그 병목을 AI 속도로 풀 자금과 도구가 동시에 등장했다. ActiveState가 기술·금융서비스·의료·제조·정부 300개 기업의 보안·공학 리더를 상대로 이 격차가 audit failures, breach frequency, lost productivity와 맺는 상관관계를 계량하는 설문을 내놓았고, Rebecca Banks와 Moris Chen이 300개 기업 벤치마크 비교를 웨비나에서 다룬다. Anthropic은 2026년 8월 Defender Advantage Fund(0xDAF)를 출범해 오픈소스 유지보수자 프로젝트에 Claude 크레딧 3,500만 달러를 지원한다 — $4M 직접 기부에 이은 투자 확대다. Claude Security(공개 베타, Claude Enterprise 대상)의 코드베이스 스캔은 Mythos 5 기반으로 전환해 CWE 카테고리·신뢰도·심각도 평가와 권장 패치를 반환하며, 직접 모델 접근을 차단하고 패치 목록·보안 경고 같은 방어 특화 출력만 돌려주는 설계로 dual-use 위험을 통제한다. Anthropic은 4월 Project Glasswing으로 일부 조직에 열어준 Claude Mythos Preview와 Mythos 5 초기 접근을 US 정부 파트너와 함께 핵심 인프라 보호 조직으로 확장하고, 병원·공공 유틸리티·금융 시스템·소프트웨어 공급망 보호팀의 기존 보안 운영·인시던트 대응 도구에 목적별 인터페이스로 Mythos 5를 심는다. Cyber Verification Program이 Claude Opus·Sonnet의 취약점 트리아지·검증으로 dual-use 접근을 넓히고 이후 Mythos급 접근 추가까지 예고하면서, 핵심 인프라 조직의 방어 도구 선정이 국가 정책 트랙과 한 줄로 겹친다. AI 코딩 파이프라인이 끌어들이는 의존성 유입량과 검증·패치 처리량 사이 격차부터 수치로 잡고, 트리아지·검증 단계에 직접 모델 접근을 차단하면서 CWE 카테고리·신뢰도·심각도·권장 패치만 돌려주는 방어 특화 인터페이스를 얹어 밀린 remediation debt부터 갚아야 한다.
관련 뉴스:
- securityweek - Anthropic, Mythos 5 방어자 접근 확대 및 $35M 오픈소스 보안 펀드 공개
- thehackernews - Shipping More AI Code Than You Can Secure? Watch How to Control Remediation Debt
기업 솔루션 및 기술
국내 버그바운티의 사각지대, 240만 화이트해커 트랙으로 메운다
LG유플러스가 취약점 검증 무대를 국내 체계에서 글로벌 화이트해커 시장으로 넓히며 국내 통신사 처음으로 버그바운티 투트랙 체계를 열었다. 이 회사는 해커원(HackerOne)과 협력해 24일부터 글로벌 버그바운티 프로그램을 프라이빗 방식으로 운영하며, 모바일·인터넷·기업서비스 등 주요 서비스 전 영역에서 신원 확인과 역량 검증을 거친 화이트해커의 취약점 제보를 상시 접수한다. 2024년 10월부터 한국인터넷진흥원(KISA)과 공동 운영해 온 국내 버그바운티를 그대로 두고 글로벌 트랙을 얹었고, 해커원은 전 세계 240만여 명의 화이트해커가 활동하는 플랫폼으로 미국 국방부를 비롯해 글로벌 빅테크와 취약점 탐지·보안 대응을 함께해 왔다. 로밍·클라우드·AI 서비스가 해외 인프라와 맞닿는 영역이 넓어지면서 위협이 국내에 한정되지 않는 양상으로 바뀌었고, 국내 검증 체계만으로 식별하기 어려운 잠재 취약점에 대한 선제적 외부 검증 수요가 구조적으로 커졌다. 서비스 지형이 국경을 넘은 조직은 단일 국내 검증 체계의 사각지대를 끌어안은 채 운영하는 꼴이 된다. 해외 인프라와 맞닿은 서비스 영역만큼은 KISA 국내 제보 채널과 신원·역량 검증을 거친 글로벌 화이트해커 제보 채널을 나눠 운영하는 투트랙 구조로 취약점 관리 체계를 다시 짜야 한다.
관련 뉴스:
- 정보통신신문 - LG유플러스, 글로벌 버그바운티 운영
- 디지털데일리 - LGU+, 보안 검증 무대 글로벌로…240만 화이트해커에 문 연다
공공·금융권이 수동 월별 점검을 걷어낸다 — 개인정보 접속기록 관리가 에이전트·AI 상시 체계로 넘어간다
삼오씨엔에스(대표 김현철)가 개인정보 접속기록관리 솔루션 '파르고스(PARGOS)'를 전라남도 함평군청에 구축하고 우리투자증권·기획예산처·창업진흥원을 신규 고객사로 확보하며, 접속기록 관리의 운영 방식을 수동 월별 점검에서 자동화 체계로 바꾸는 흐름을 공공·금융권 전반으로 밀고 있다. 파르고스는 에이전트로 개인정보처리시스템 접속 기록을 수집해 빅데이터 플랫폼에서 저장·분석하고, AI가 개인정보 오·남용을 탐지하며 소명 처리 현황까지 관리한다. 함평군청은 이 도입으로 접속기록 상시 모니터링을 구현했고 월 단위 점검 업무를 자동화 보고서 체계로 전환했다. 우리투자증권에 공급한 버전은 대량의 로그 데이터를 실시간으로 처리하는 빅데이터 아키텍처 기반으로 금융권 수준의 데이터 처리량에 대응한다. 공공·금융권은 다수 개인정보처리시스템을 운영하며 담당자별 접근권한 관리에 구조적 부담을 안고 있고, 개인정보보호위원회 고시 '개인정보의 안전성 확보조치 기준'과 '신용정보의 이용 및 보호에 관한 법률'을 동시에 준수해야 하는 환경에서 접속기록 점검·접근권한 관리·소명 처리를 단일 플랫폼에 모으면 컴플라이언스 누락 리스크를 구조적으로 줄인다. 시스템마다 따로 쌓아온 접속기록과 접근권한 이력을 에이전트 수집과 AI 오·남용 탐지로 한데 모아 소명 처리까지 단일 플랫폼에서 관리하는 구조로 재편해야 한다.
관련 뉴스:
- 정보통신신문 - 삼오씨엔에스, 공공·금융권 공략 잰걸음
Security Desk 노트
관문은 번번이 가장 싼 신뢰 토큰 한 장으로 열렸고, 그 뒤에 무엇이 놓여 있는지 설계해둔 이는 아무도 없었다—that이 이 모든 기록을 관통하는 균열이다. BlackFile이 북미·호주·영국 금융·PE 조직에서 뜯어낸 비트코인 1,000만 달러 이상의 관문은 헬프데스크 사칭 전화 한 통과 피싱 푸시 승인 한 번이었고, Keycloak 결함(CVSS 9.1)은 이메일 액션 토큰 없는 요청 한 건으로 관리자 포함 전 계정을 내줬으며, SPECTRE는 EDR과 정면으로 싸우는 대신 운영체제가 이미 신뢰하는 서명된 드라이버를 빌려 Falcon·SentinelOne·Defender의 커널 콜백을 끊고 유출물을 정상 Nacos 트래픽에 섞었으니, 방어자가 발행한 신뢰의 화폐가 그대로 공격자의 신분증으로 유통되는 셈이다. 확산 29분·무기화 4시간의 시계 앞에서 패치 주기 방어는 부고가 낭독된 지 오래고 GitLab 취약점(CVSS 9.4)이 공개 수일 만에 인증 없는 공격자에게 악용된 것이 그 사인장이었으며, 정작 유일하게 피해를 끊은 설계는 ReliaQuest의 view-only 세션 권한뿐이었다는 사실—입구가 아니라 입구 뒤의 권한 설계가 생사를 갈랐다는 사실—을 방어 진영은 아직 일회성 해피엔딩으로 소비할 뿐 원칙으로 승격시키지 않고 있다. 국가안보실이 시그니처 방어의 사망을 공식 확인하고 네덜란드 당국이 Uber에 인간 검토 없는 자동화의 값으로 8억 2,500만 유로의 값표를 붙인 마당에, 기업 AI 대화의 47.11%가 관리 밖 개인 신원을 통과하고 직원 확장의 약 75%가 고위험 권한을 요구하며 16.31%는 알려진 CVE를 품은 채 돌아다니는 그림자 인프라가 다음 관문으로 이미 시공 중이니, 편집자로서 묻겠다—문이 열렸는지 따지기 전에, 열린 줄 모르는 29분 동안 침입자가 닿을 수 있는 모든 것을 한 번이라도 세어본 적이 있는가.
📢 SecurityDesk 인사이트 운영 정책
최신 보안 동향을 생성형 AI 기술의 도움을 받아 독자적인 분석을 통해 인사이트가 제공됩니다.
기사 제목과 링크는 정보 공유의 목적으로 인용되었으며, 기사 원문에 대한 저작권은 각 언론사에 있습니다. 상세 내용은 반드시 [관련 뉴스] 링크를 통해 원문 기사에서 확인하시기 바랍니다.