취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업AI 에이전트의 시스템 프롬프트는 보안 장치가 아닙니다. 사용자가 교묘한 말로 지시를 우회하면 에이전트는 권한 밖의 데이터까지 꺼내줄 수 있기 때문입니다. AWS와 SANS 연구자들은 접근 제어를 모델이 아닌 인프라 계층에 두어야 한다고 권고합니다. 즉, 사용자의 권한을 기반으로 데이터를 모델에 전달하기 전에 미리 필터링해야 합니다. IBM 연구에 따르면 통제되지 않는 '섀도 AI(Shadow AI, 조직이 파악하지 못한 채 운영되는 AI)'가 높은 수준인 조직은 침해 사고 시 평균 67만 달러를 추가로 지출한 것으로 나타났습니다.
자세히 보기
중요기업FBI는 2025년 말부터 정치인·기자·학자 등 유명 인사와 그 주변인을 노린 'OAuth 동의 피싱(OAuth consent phishing)' 공격이 계속되고 있다고 경고했습니다. 공격자는 Microsoft나 Google 같은 정식 서비스의 로그인 화면을 그대로 이용하기 때문에, 피해자가 속아서 권한을 허용하면 비밀번호 없이도 이메일·파일에 무제한 접근할 수 있게 됩니다. 이 방식은 다단계 인증(MFA)도 우회하며, 비밀번호를 바꿔도 공격자의 접근이 차단되지 않는다는 점이 특히 위험합니다. 피해를 막으려면 계정의 '앱 권한 설정'에서 해당 토큰을 직접 취소해야 합니다. FBI는 출처를 알 수 없는 메시지의 링크를 클릭할 때 각별히 주의하고, 신뢰할 수 없는 애플리케이션에는 절대 권한을 부여하지 말 것을 권고했습니다.
자세히 보기
