JEFF NEWS에 참여하세요
북마크, 댓글, 투표 기능을 사용할 수 있습니다
© 2026 Jeff Yim
오픈AI가 사이버 보안 방어 작업에 특화된 GPT-5.5-사이버를 제한 프리뷰로 공개했다. 일반 GPT-5.5와 신뢰 기반 접근 프로그램을 기본 축으로 두고, 더 민감한 보안 실험은 검증된 방어 조직에만 허용하는 투트랙 전략이다.
AI가 취약점 분석 속도를 끌어올리면서 기존 보안 업계의 두 공개 문화가 동시에 압박을 받고 있다는 글이다. 몰래 고치는 방식도, 90일 엠바고를 두는 조정 공개도 예전만큼 안전하지 않다는 게 핵심이다.
학습관리 플랫폼 캔버스가 대규모 보안 사고 이후 한때 내려갔다가 대부분 복구됐다. 공격자는 학생·교사 이름, 이메일, 식별번호, 메시지 등 데이터를 확보했다고 주장했고, 일부 사용자 화면에는 협박 메시지까지 노출됐다.
오픈AI가 사이버보안 특화 모델 ‘GPT-5.5-사이버’를 일반 공개가 아닌 제한 프리뷰로 공개했음. 핵심은 성능 과시가 아니라, 검증된 방어자에게만 고위험 보안 워크플로우를 열어주는 신뢰 기반 접근(TAC) 실험임.
MS와 구글이 기업용 AI 에이전트 통제 기능을 강화하고 있어. MS의 Agent 365는 멀티클라우드와 서드파티 SaaS까지 포함한 에이전트 관리를 내세우고, 구글의 Workspace AI 컨트롤 센터는 협업 데이터와 사용자 콘텐츠 안에서 AI 사용 현황과 보안 정책을 통제하는 데 초점을 둬.
구글의 차세대 reCAPTCHA가 안드로이드에서 Google Play Services 25.41.30 이상을 요구하면서 GrapheneOS 같은 탈구글 기기 사용자가 인증에 실패하는 문제가 나왔어. iOS 16.4 이상에서는 추가 앱 설치 없이 같은 검증을 통과한다는 점 때문에, 보안보다 생태계 통제라는 비판이 커지고 있어.
프랑스 의회 정보 대표단이 왓츠앱, 시그널, 텔레그램 같은 종단간 암호화 메신저에 수사기관의 표적 접근을 허용해야 한다고 권고했다. 핵심 아이디어는 암호키를 직접 뺏는 대신 대화방에 보이지 않는 국가 측 참가자를 넣는 방식인데, 보안 업계가 오래전부터 반대한 백도어 논쟁이 다시 올라온 셈이다.
제너럴모터스가 캘리포니아 운전자들의 위치와 주행 데이터를 데이터 브로커에게 팔았다가 1,275만 달러 합의에 들어갔다. 캘리포니아 개인정보보호법 기준으로 역대 최대 벌금이자, 데이터 최소화 원칙을 집행한 첫 사례라는 점이 크다.
미국 테네시대 신입생이 자신의 틱톡 영상을 매칭 앱 미트 광고에 무단 사용당했다며 소송을 냈다. 문제의 광고는 성적 만남을 암시하는 내레이션과 함께 송출됐고, 지오펜싱으로 본인이 사는 기숙사 남학생들에게까지 노출됐다는 주장이 붙어 사안이 더 커졌다.
미국 FCC가 통신사가 고객 신원을 확인한 뒤에만 전화 서비스를 개통하도록 하는 제안을 만장일치로 승인했다. 명분은 불법 로보콜 차단이지만, 선불폰과 VoIP까지 사실상 실명제에 묶일 수 있어 프라이버시 논쟁이 커질 만한 사안이다.
트렌드마이크로가 리눅스 원격 접속 트로이목마 QLNX가 오픈소스 생태계에서 은밀히 확산될 수 있다고 경고했다. 이 악성코드는 개발자, DevOps 운영자, 패키지 관리자 계정의 자격증명을 훔쳐 PyPI나 npm 같은 패키지 생태계에 악성 코드를 심는 공급망 공격으로 이어질 수 있다. LiteLLM 사례처럼 일일 다운로드 수 340만건 규모의 패키지도 자격증명 탈취 한 번으로 트로이목마화될 수 있다는 점이 무섭다.
오픈AI가 검증된 보안 담당자를 대상으로 GPT-5.5의 사이버보안 활용 범위를 넓히는 신뢰 기반 접근(TAC)을 확대한다. 취약점 분석, 악성코드 분석, 리버스 엔지니어링, 탐지 엔지니어링, 패치 검증 같은 방어 업무는 지원하되, 무단 침투처럼 실제 피해를 낼 수 있는 행위는 제한한다.
앤트로픽의 취약점 탐지 AI 모델 미토스가 오픈소스 툴 curl 분석에서 실제 취약점 1건만 확인됐다는 보도가 나왔다. curl 수석 개발자 다니엘 스텐버그는 미토스가 전통적인 툴보다 낫긴 하지만, 앤트로픽이 말한 만큼 위험하거나 압도적인 수준이라는 증거는 못 봤다고 평가했다.
구글 위협인텔리전스 그룹은 AI로 개발된 것으로 추정되는 제로데이 공격을 처음 확인했고, 대규모 악용 전에 차단했다고 밝혔어. 특히 북한·중국 연계 해킹 조직들이 AI를 취약점 연구, 익스플로잇 개발, 탐지 회피, 피싱 콘텐츠 제작에 본격적으로 쓰고 있다고 경고했어.
리눅스 커널의 페이지 캐시 처리 버그를 악용하는 ‘더티 프랙’ 취약점이 공개됐고, 낮은 권한 사용자도 루트 권한을 얻을 수 있는 위험이 제기됐어. 데비안, 알마리눅스, 페도라 등 일부 배포판은 패치를 배포 중이며, 패치 적용에는 재부팅이 필요할 수 있어.
이지서티가 경상남도교육청 교육정보원에 클라우드형 개인정보 필터링 솔루션을 공급했다. 공공 부문 클라우드 네이티브 전환 흐름 속에서 기존 온프레미스 수준의 개인정보 탐지·필터링을 클라우드에서도 이어가는 사례다.
구글 계정 신규 가입 과정에서 QR 코드를 스마트폰으로 스캔하고, 사용자가 직접 구글로 문자를 보내는 방식의 전화번호 인증이 나타난다는 제보가 나왔다. 아직 모든 국가와 모든 가입 시나리오에 공통 적용되는지는 불확실하지만, 프록시 품질·위치·기기 상태 같은 위험 신호에 따라 인증 방식이 달라지는 것으로 보인다. 프라이버시를 중시하는 사용자 입장에서는 가상 SMS 번호 사용이 어려워지고, 기기·위치 정보 노출 우려도 커지는 변화다.
AI가 만든 코드가 빠르게 늘면서 개발 속도는 빨라졌지만, 검증되지 않은 코드와 취약한 오픈소스가 그대로 유입될 위험도 커지고 있다는 지적이 나왔다. 스패로우는 전통적인 보안 테스트만으로는 AI 개발 속도를 따라가기 어렵고, 보안 테스팅을 개발 워크플로우 안에 자동화해 넣어야 한다고 봤다. 특히 SBOM과 앞으로의 AIBOM까지 포함해 소프트웨어 공급망을 추적하는 체계가 중요해지고 있다.
오픈AI가 검증된 보안 담당자와 개발자를 대상으로 사이버 보안용 고성능 인공지능 접근을 확대한다. ‘GPT-5.5-Cyber’는 핵심 인프라 방어 조직에 제한 공개되며 취약점 분석, 악성코드 탐지, 리버스 엔지니어링, 패치 검증 같은 방어 업무에 초점을 맞춘다.
안랩클라우드메이트가 클라우드 관리와 보안을 결합한 ‘트러스트 레이어’ 전략을 앞세워 AX 시장을 공략하고 있다. 생성형 인공지능 도입이 늘면서 공공기관과 중소·중견기업의 보안 부담을 줄이는 실전형 솔루션에 초점을 맞췄다.