JEFF NEWS에 참여하세요
북마크, 댓글, 투표 기능을 사용할 수 있습니다
© 2026 Jeff Yim
뮌헨리 조사에서 전 세계 C레벨 응답자 89%가 자사 사이버 보호 수준이 충분하지 않다고 봤다. AI와 클라우드 활용은 이미 기업 운영의 기본값이 됐지만, 데이터 보안·랜섬웨어·클라우드 장애가 그대로 보험 수요를 밀어 올리는 분위기다.
그라파나랩스가 깃허브 환경 침해로 내부 소스코드가 유출됐다고 공개했다. 공격자는 깃허브 액션 설정 약점을 이용해 토큰을 빼낸 뒤 비공개 저장소에 접근했고, 이후 금품을 요구했지만 회사는 FBI 지침을 근거로 지급을 거부했다.
npm 생태계의 공급망 공격을 풍자한 글이다. 수십 단계로 중첩된 의존성, 방치된 패키지 탈취, 기본 설치 스크립트 실행 같은 구조적 위험을 ‘어쩔 수 없는 자연재해’처럼 말하는 태도를 비꼰다.
영국 정부가 청소년 온라인 보호 대책의 하나로 VPN 접근에 나이 제한을 거는 방안을 검토하자, 모질라가 공개적으로 반대 의견을 냈다. 모질라는 VPN이 연령 인증 우회 수단으로만 취급되면 안 되고, IP 추적·위치 노출·프로파일링을 줄이는 핵심 프라이버시 도구라고 봤다.
구글 프로젝트 제로가 픽셀 10에서도 제로클릭 취약점에서 시작해 안드로이드 루트 권한까지 도달하는 익스플로잇 체인을 만들 수 있었다고 공개했다. 핵심은 기존 돌비 취약점과 픽셀 10의 새 VPU 드라이버 취약점을 이어 붙인 체인인데, VPU 쪽은 커널 메모리를 사용자 공간에서 거의 그대로 만질 수 있게 만드는 수준의 심각한 버그였다.
코헤시티와 HPE가 7년간 전략적 파트너십을 확대하면서 사이버 레질리언스와 하이브리드 클라우드 복구 역량을 묶는다. 핵심은 HPE 젤토, 코헤시티 데이터프로텍트, 넷백업, HPE 모피어스 계열 제품을 더 촘촘하게 연결해 기업 데이터 보호와 복구를 단순화하겠다는 거다.
북한 해킹 조직이 AI를 피싱 보조 도구 수준이 아니라 취약점 탐색, 악성코드 생성, 공격 검증 자동화에 쓰기 시작했다는 보안 업계 분석이 나왔다. 카스퍼스키, 구글 위협인텔리전스그룹, 국가정보원 보고서가 언급되며, AI가 북한 해커의 인력·언어·코딩 한계를 메우고 공격 규모를 키우는 구조가 문제로 지적됐다.
오픈AI가 탠스택 npm 패키지 침해와 연결된 공급망 공격으로 직원 기기 2대가 침해됐다고 공개했다. 고객 데이터나 운영 시스템 침해 증거는 없지만, 일부 저장소 자격증명 탈취와 코드서명 인증서 노출 가능성이 확인돼 인증서 교체와 맥OS 앱 업데이트가 진행 중이다.
보안 연구기업 캘리프가 앤트로픽의 차세대 모델 미토스를 활용해 macOS 보안 체계를 우회하는 공격 기법을 발견했다. 애플이 약 5년간 구축한 메모리 무결성 강제 기술을 겨냥했고, 연구진은 5일 만에 공격 코드를 완성한 것으로 전해졌다.
영국 AI안전연구소 평가에서 GPT-5.5가 전문가급 사이버 보안 과제 통과율 71.4%를 기록하며 클로드 미토스 프리뷰를 앞섰다. 기업망 침투 시뮬레이션까지 통과하면서, AI 모델의 공격 역량이 몇 달 단위로 빠르게 상향 평준화되고 있다는 경고가 나왔다.
구글 위협 인텔리전스 그룹이 통제된 실험실 밖 실제 공격에서 AI가 제로데이 익스플로잇 코드 생성에 쓰인 사례를 확인했다고 밝혔어. 공격은 인기 오픈소스 코드 관리 도구의 인증 구현 주변부를 노렸고, 2단계 인증 자체보다 그 처리 로직의 빈틈을 파고든 것으로 설명돼.
엔진엑스 플러스와 엔진엑스 오픈소스에서 리라이트 모듈 기반 힙 버퍼 오버플로우 취약점이 공개됐어. 특정 리라이트 설정과 정규식 캡처가 맞물리면 인증 없이 원격코드실행이나 서비스 거부 공격으로 이어질 수 있어, 운영 중인 서버는 버전 점검과 패치가 필요해.
미국 법무부가 배출가스 규제 우회 장치 의혹을 수사하면서 애플, 구글 등에 자동차 튜닝 앱 이용자 신원과 구매 기록을 요구했어. 단순히 앱을 다운로드했거나 진단용으로 쓴 사람까지 대규모로 노출될 수 있다는 점에서 디지털 프라이버시와 규제 집행의 경계가 쟁점이 되고 있어.
엔진엑스 플러스와 엔진엑스 오픈소스에서 18년 동안 발견되지 않았던 힙 버퍼 오버플로우 취약점이 공개됐다. 특정 리라이트 설정과 정규식 캡처가 결합될 때 조작된 HTTP 요청만으로 원격 코드 실행이나 서비스 거부 공격이 가능해, 최신 버전 업데이트가 권고된다.
앤트로픽이 취약점 탐지·분석 인공지능 모델 미토스의 악용을 막기 위해 만든 프로젝트 글래스윙에 일본 등 해외 참여를 확대하는 방안을 검토 중이라고 밝혔다. 현재는 미국 빅테크 중심 구조라 한국과 일본은 거의 들어가지 못한 상태고, 한국 정부도 최근 면담에서 실질적 확답을 받지 못한 것으로 알려졌다.
블록의 비트코인 개발 조직 스파이럴이 오픈소스 비트코인 코드베이스용 AI 보안 취약점 탐지 도구 ‘루페’를 공개했다. 스마트컨트랙트와 프로토콜 해킹 피해가 늘면서, 블록체인 개발 환경에도 지속적인 자동 보안 점검이 더 중요해지는 흐름이다.
한국디지털인증협회와 라온시큐어가 2026 블록체인 인공지능 해커톤을 앞두고 기술 설명회를 열었고, 약 100명의 지원자가 참석했다. 대회는 모바일 신분증 기반 서비스와 블록체인·인공지능 결합 아이디어를 발굴하는 실전형 경진대회로 진행된다.
오픈AI 맥용 챗GPT 데스크톱 앱에서 오픈소스 라이브러리 침해와 관련된 보안 이슈가 확인돼 업데이트가 배포되고 있다. 오픈AI는 직원 기기 2대가 영향을 받았고 사용자 데이터 접근이나 핵심 시스템 침해 증거는 없다고 밝혔다.
딥페이크 성범죄가 늘어나는 배경으로 오픈소스 AI 모델과 해외 플랫폼 유통망이 지목됐다. 2025년 합성·편집 피해는 1616건으로 전년보다 16.8% 증가했고, 워터마크나 국내 규제만으로는 음성 유통을 막기 어렵다는 지적이 나온다.
멀바드 VPN은 같은 서버에 접속해도 사용자마다 다른 출구 아이피를 배정하는데, 이 배정이 완전 랜덤이 아니라 WireGuard 공개키 기반으로 결정되는 것으로 보인다는 분석이 나왔다. 여러 서버에서 받은 출구 아이피 조합을 보면 각 서버의 아이피 풀에서 비슷한 위치값이 반복돼, 서로 다른 서버 로그를 조합하면 사용자를 상당히 높은 확률로 연결할 수 있다는 얘기다.