JEFF NEWS에 참여하세요
북마크, 댓글, 투표 기능을 사용할 수 있습니다
© 2026 Jeff Yim
트렌드마이크로가 개발자와 데브옵스 환경을 노리는 리눅스 악성코드 큐엘엔엑스를 경고했다. 이 악성코드는 인증 토큰, 클라우드 자격 증명, 깃허브 토큰, 쿠버네티스·도커 설정을 노리고, 감염 장비를 피투피 메시 네트워크로 엮어 장기 침투를 시도할 수 있다.
오픈AI가 GPT-5.5의 사이버 보안 활용 범위를 ‘검증된 방어자’ 중심으로 넓혔다. 핵심은 취약점 분석, 악성코드 분석, 탐지 규칙 작성, 패치 검증 같은 방어 업무에는 더 강한 기능을 주되, 무단 침투나 계정 탈취 같은 악용 요청은 계속 막겠다는 접근이다.
오픈AI 공개형 모델을 사칭한 악성 저장소가 허깅페이스 인기 목록 1위에 오른 사례가 발견됐다. 해당 저장소는 약 18시간 동안 다운로드 24만4천 건과 좋아요 667개를 기록했지만, 실제로는 윈도 이용자의 브라우저 정보, 디스코드 계정, 암호화폐 지갑 데이터를 훔치는 악성코드를 내려받게 만들었다.
트렌드마이크로가 리눅스 원격 접속 트로이목마 ‘QLNX’를 이용한 오픈소스 공급망 공격을 경고했다. 이 악성코드는 개발자, 데브옵스 운영자, 패키지 관리자 계정의 자격증명을 훔쳐 npm, PyPI, 컨테이너 이미지 같은 배포 경로를 오염시킬 수 있다.
국정원 국가사이버안보센터 연례보고서에 따르면 북한은 지난해 2조 원이 넘는 역대 최대 규모의 가상자산을 탈취했다. 공격 수법도 문서관리 솔루션 취약점, 오픈소스 공급망 침투, 딥페이크 화상 면접, 스마트폰 원격 초기화까지 넓어졌다.
국정원이 2025 국가사이버안보 연례보고서에서 북한의 사이버 위협이 금전 탈취, 산업 정보 수집, 제재 회피가 결합된 복합 양상으로 커졌다고 밝혔다. 지난해 북한의 가상자산 탈취액은 2조원을 넘었고, 국내 문서관리 솔루션 취약점 악용, 오픈소스 공급망 침투, 딥페이크 기반 위장 취업까지 확인됐다.
과기정통부가 앤트로픽·오픈AI 등 글로벌 빅테크의 AI 보안 프로젝트 확산에 대응해 국내 AI 보안 특화 모델 개발과 민관 거버넌스를 추진한다. 이미 3만여 기업 CISO 대상 대비 태세 점검과 AI 기반 사이버공격 대응 요령 배포를 진행했고, 제로트러스트와 양자보안까지 묶은 방어 체계 논의를 예고했다.
이 글은 실제 보안 사고 보고서처럼 보이지만, 자바스크립트·러스트·파이썬 생태계의 공급망 보안 문제를 과장된 풍자로 풀어낸 글이다. 피싱, 탈취된 패키지 권한, 전이 의존성, 벤더링, 느린 대응, 형식적인 사후분석까지 요즘 개발 생태계의 약한 고리를 한 번에 찌른다.
글쓴이는 최근 copy.fail 이후 리눅스 커널 취약점이 추가로 공개되는 상황에서, NPM을 통한 공급망 공격이 터지면 피해가 커질 수 있다고 경고한다. 배포판의 리눅스 커널 패치는 적용하되, 새 소프트웨어 설치는 일주일 정도 멈추는 게 낫다는 짧고 실용적인 조언이다.
정부가 앤트로픽과 만나 AI·사이버보안 협력 방안을 논의했다. 앤트로픽의 글로벌 AI 보안 연합체 ‘프로젝트 글래스윙’ 참여 가능성이 관심사였지만, 이번 면담에서 실질적 확답은 나오지 않은 것으로 알려졌다.
국정원이 국가망보안체계(N2SF)의 데이터 분류 가이드라인을 올해 말까지 마련한다. 기관마다 제각각이던 기밀·민감·공개 데이터 판단 기준을 구체화해 공공부문의 AI, 클라우드, SaaS 활용을 넓히려는 흐름이다.
AI·클라우드·오픈소스 의존이 커지면서 공급망 보안이 국가안보와 산업안보의 핵심 기술로 떠올랐다는 특허 분석 기사다. 2014년 1,341건이던 글로벌 특허출원이 2023년 3,432건으로 2.6배 늘었고, 최근 5년 기준 중국 점유율은 63%까지 올라갔다.
낯선 번호에서 아무 말 없는 전화가 오면 단순 오류가 아니라 AI 음성 복제용 샘플 수집일 수 있다는 경고가 나왔어. 몇 초짜리 음성만으로도 말투와 억양을 흉내 낼 수 있어 가족 사칭 송금 사기나 음성 인증 악용으로 이어질 수 있다는 내용이야.
oss-security 메일링 리스트에 Dirty Frag라는 리눅스 로컬 권한 상승 취약점 보고가 공개됐어. 공개 시점 기준 패치와 CVE가 없다고 밝혀졌고, 주요 배포판에서 루트 권한 획득으로 이어질 수 있다는 점 때문에 서버 운영자와 보안팀이 바로 봐야 할 이슈야.
curl 리드 개발자 Daniel Stenberg가 Anthropic의 보안 분석 모델 Mythos로 curl을 스캔한 결과를 공개했다. 보고서는 처음에 ‘확인된 취약점’ 5개를 제시했지만 curl 보안팀 검토 후 실제 취약점은 낮은 심각도의 CVE 1개로 줄었고, 나머지는 오탐 3개와 일반 버그 1개로 판단됐다.
크롬 설정 문구에서 온디바이스 AI가 데이터를 구글 서버로 보내지 않는다는 설명이 사라졌다는 레딧 제보가 올라옴. 제보자는 크롬 147 버전에는 해당 문구가 있었고, 148 버전에서는 삭제됐다고 주장함. 공식 해명이나 실제 데이터 전송 방식 변경 여부는 본문만으로 확인되지 않지만, 브라우저 내장 AI 기능의 프라이버시 설명이 얼마나 민감한 이슈인지 보여주는 사례임.
구글 클라우드가 reCAPTCHA의 다음 단계로 Google Cloud Fraud Defense를 공개했어. 사람, 봇, AI 에이전트를 구분하고 위험도를 기반으로 허용·차단 정책을 걸 수 있게 만든 신뢰 플랫폼이 핵심이야. 기존 reCAPTCHA 고객은 별도 마이그레이션 없이 자동으로 Fraud Defense 고객이 되고, 가격이나 사이트 키도 그대로 유지돼.
시큐어아이큐랩이 클라우드 네이티브 방화벽(CNFW)을 대상으로 한 포스트 양자 암호(PQC) 독립 검증 방법론을 공개했음. TLS, 쿠버네티스 정책 집행, 생성AI 추론 엔드포인트, MCP 서버 보안까지 같이 본다는 점이 핵심임.
서비스나우 CTO 펫 케이시는 앤스로픽의 AI 모델 ‘미토스’가 중국에서 재현돼 핵심 소스가 공개될 경우 사이버 공격 위험이 크게 커질 수 있다고 경고했다. 취약점이 발견된 뒤 실제 악용까지 이어지는 시간이 짧아지는 만큼, 자동화된 보안 대응 도구 없이는 상황이 빠르게 악화될 수 있다는 주장이다.
네이버클라우드가 Certificate Manager에 SSL/TLS 인증서 발급·갱신·폐지를 자동화하는 ACME 기능을 추가했다. 인증서 유효기간이 2029년 47일까지 줄어들 전망이라, 수동 갱신 운영은 점점 위험해지는 상황이다. 기존 유료 인증서 고객은 추가 비용 없이 사용할 수 있고, Certbot과 Win-acme 같은 오픈소스 클라이언트도 연동된다.