JEFF NEWS에 참여하세요
북마크, 댓글, 투표 기능을 사용할 수 있습니다
© 2026 Jeff Yim
아카마이가 서울에서 열린 ‘시큐리티 데이 서울’에서 AI 공급망 보안 전략과 티빙 협력 사례를 공개했다. 티빙은 아카마이 보안 플랫폼을 도입해 크리덴셜 스터핑, 계정 탈취, 고도화된 디도스 공격에 대응하고, 대작 콘텐츠 공개 시점의 트래픽 폭주 상황에서도 가용성을 유지하는 데 초점을 맞췄다.
카피 페일은 2017년 이후 배포된 주류 리눅스 커널에 영향을 주는 로컬 권한 상승 취약점으로, 레이스 조건이나 커널별 오프셋 없이 같은 732바이트 파이썬 스크립트로 루트 권한을 얻을 수 있다고 공개됐어. 원인은 커널 암호화 API의 에이에프 알고리즘과 스플라이스 경로가 얽히며 페이지 캐시에 4바이트 쓰기가 가능해지는 논리 버그로 설명됨.
보안 연구자가 Fedora의 Forgejo 전환을 계기로 코드를 살펴보다가 SSRF, 인증 결함, DoS, 정보 유출, TOCTOU 등 여러 취약점을 발견했고 일부를 묶어 RCE와 OAuth2 권한 상승까지 만들 수 있었다고 밝혔다. 그는 세부 익스플로잇을 바로 공개하지 않고, 취약함을 입증하는 출력만 공개해 프로젝트가 전체 보안 감사를 하도록 압박하는 'carrot disclosure' 방식을 택했다.
Canonical이 Ubuntu 25.10부터 기본 포함한 Rust 기반 GNU coreutils 재구현체 uutils에서 44개 CVE를 공개했다. 이 버그들은 버퍼 오버플로 같은 메모리 안전 문제가 아니라, 경로 TOCTOU, Unix 바이트 처리, panic, GNU 호환성 차이처럼 Rust 컴파일러가 잡아주지 않는 시스템 경계의 문제였다.
Wiz Research가 GitHub 내부 Git 처리 파이프라인에서 CVE-2026-3854 원격 코드 실행 취약점을 발견했다. 세미콜론으로 구분되는 내부 `X-Stat` 헤더에 사용자 입력이 그대로 들어가면서 보안 필드가 덮어써졌고, GHES는 전체 서버 장악, GitHub.com은 공유 스토리지 노드 접근으로 이어질 수 있었다.
캐나다 연방정부가 사기 피해를 줄이기 위해 가상자산 현금입출금기 금지를 추진 중이다. 현금만 넣으면 빠르게 비트코인 같은 가상자산으로 바꿔 해외 지갑으로 보낼 수 있는 구조가 사기범에게 너무 좋은 도구가 됐다는 판단이다.
Socket 보안팀이 Bitwarden CLI npm 패키지(@bitwarden/cli2026.4.0)가 악성코드에 감염된 채로 배포된 사실을 발견했다. Bitwarden의 CI/CD에 쓰이던 GitHub Action이 뚫려 공식 빌드 라인에 bw1.js 페이로드가 심어졌고, GitHub·AWS·Azure·GCP 자격증명부터 Claude/MCP 설정까지 광범위하게 탈취한다. 최근 번지고 있는 Checkmarx 공급망 캠페인의 일부로 확인됐다.
구글 클라우드가 인수한 위즈(Wiz)가 클라우드 넥스트 2026에서 Security Graph 확장을 발표했다. 데이터브릭스, AWS Agentcore, Azure Copilot Studio, Salesforce Agentforce 등 멀티 에이전트 스튜디오를 단일 그래프에서 통합 감시한다. AI 에이전트끼리 직접 통신하는 위협 모델 변화에 대응한 개편이다.
애플이 푸시 알림 본문이 기기 내부 DB에 최대 한 달간 캐시되던 버그를 수정했다. FBI가 이 캐시를 통해 시그널에서 자동 삭제된 메시지까지 포렌식으로 복원했다는 404 Media 보도가 발단이 됐고, iOS 18까지 백포트 패치가 배포됐다.
2026년 2월 Context.ai 직원 PC가 Lumma Stealer에 감염되면서 시작된 OAuth 공급망 공격이 Vercel 내부 시스템까지 뚫고 들어가 고객 환경변수를 유출했다. 핵심 설계 문제는 Vercel의 sensitive 플래그가 기본값 OFF라 개발자가 직접 켜지 않으면 API 키·DB 자격증명이 내부에서 평문으로 조회됐다는 점. 같은 3주 사이 LiteLLM·Axios 공급망 공격도 터지면서 플랫폼에 저장된 자격증명이 공격자의 공통 타깃이 됐음이 드러났다.
앤트로픽의 AI 모델 '클로드 미토스'가 취약점 탐색과 공격 시나리오 구성까지 자동화하면서 한국에서도 제로트러스트 전환이 시급하다는 목소리가 커짐. 그러나 한국의 제로트러스트 도입은 2024년 시범사업 이후 3년째 실증만 반복 중이고 예산은 오히려 축소됨. 전문가들은 5년간 2조 5000억 원 규모 사업화와 법제화를 주문함.
오픈소스 보안 기업 블랙덕이 한국 시장 진출을 본격화했다. 전 세계 최대 OSS 데이터베이스, 독점 AI 엔진 '컨텍스트 AI', 스니펫 분석, AI-BOM 거버넌스를 차별점으로 내세우며 9월 시행 EU CRA 등 한국 기업의 해외 컴플라이언스 대응을 지원하겠다는 전략이다.
오픈소스 보안 솔루션 기업 블랙덕이 옌 청 APAC 총괄 방한과 함께 한국 시장 공략 의지를 밝혔다. 25년간 쌓은 오픈소스 보안 데이터베이스, 컨텍스트 AI 엔진, 스니펫 분석, AI-BOM을 4대 차별점으로 내세우며 9월 발효되는 EU CRA 컴플라이언스 대응을 한국 수출 기업에 어필했다.
위트푸가 2024년 실제 공격 트래픽에서 파생한 1억 건 규모의 구조화·라벨링 사이버보안 데이터셋 'Precinct 6'을 허깅페이스에 아파치 2.0으로 공개했다. 시스로그·윈도우 보안 감사·VPC 플로 로그·엔드포인트 원격측정 같은 다중 로그 소스와 출처 그래프, MITRE ATT&CK 매핑 인시던트가 하나로 묶여 있다. 캔터베리대학교와 공동 제작했고 정제 코드까지 오픈소스로 공개됐다.
공공 클라우드 진입 검증이 과기정통부 CSAP + 국정원 보안검증 이중 체계에서 국정원 단일 체계로 일원화됨. 2027년 7월부터 시행, CSAP 별표 4는 국정원으로 이관되고 별표 1~3은 ISMS 자율 인증으로 전환. 기존 CSAP 인증은 5년 유효기간 그대로 인정.
앤트로픽이 Opus 상위 모델 '미토스'를 '전례 없는 사이버 위험' 이유로 출시 중단. USAMO 97.6%, SWE-bench 93.9%를 기록하며 OpenBSD 27년 버그 등 수천 개 제로데이를 자율 발굴했고 네 개 취약점을 체인으로 엮어 샌드박스 탈출까지 해버림. Glasswing 제한 공개 명단에 한국 기업은 없음.
iTerm2의 SSH integration 기능이 터미널 출력 소스를 검증하지 않아, 악성 텍스트 파일을 cat만 해도 가짜 conductor 세션으로 속여 원격 코드 실행이 가능하다는 버그가 공개됐다. 3월 31일 패치됐지만 stable 릴리스엔 아직 미반영. base64 청크 충돌까지 동원한 정교한 익스플로잇이다.
Vercel이 내부 시스템 침해를 공식 확인했다. 서드파티 AI 플랫폼 Context.ai 해킹으로 직원 Google Workspace 계정이 탈취됐고, 공격자는 'non-sensitive'로 표시돼 암호화되지 않은 환경변수를 enumerate 해 추가 접근 권한을 얻었다. 공격자는 ShinyHunters를 자처하며 직원 정보·API 키·NPM/GitHub 토큰 판매를 시도 중이다.
Wiz의 2026 클라우드 위협 보고서는 2025년 침해사고의 초기 진입 경로가 취약점 악용 40%, 노출된 시크릿 21%, 설정 오류 19%로 기본 취약점이 여전히 최대 위협임을 확인했다. 샤이 훌루드·s1ngularity·리액트투쉘 같은 공급망 공격과 AI 도구를 활용한 LameHug 악성코드 사례가 2025년을 특징짓는 사건으로 꼽힌다.
앤트로픽 AI 모델 미토스가 오픈BSD 27년 묵은 원격 취약점을 포함한 수천 건의 제로데이를 탐지하면서 AI 보안의 판도를 바꾸고 있다. 해킹 자동화 우려 때문에 앤트로픽은 후속 모델 오퍼스 4.7에서 의도적으로 사이버 보안 기능을 축소했고, 미국 정부도 도입을 재검토 중이다.