TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

데일리시큐 · 취약점 분석 뉴스

금융

데일리시큐·2026. 09. 21.

금융권 SW 취약점 공동 대응체계 본격 가동…178개 금융사 참여

금융보안원이 운영하는 '금융권 SW공급망보안 플랫폼'에 현재 178개 금융회사가 참여하며 본격적으로 가동되고 있습니다. 이 플랫폼은 화이트해커가 취약점을 발굴하면 금융보안원이 검증하고, 소프트웨어 개발사가 패치를 만들어 금융회사가 조치하는 과정을 하나로 연결합니다. 운영 이후 총 1,316건의 취약점 조치 요청이 이뤄졌으며, 취약점 제보 건수는 전년 대비 약 2배, 패치 개발 요청은 5.7배 증가했습니다. 여러 금융기관이 공통으로 쓰는 소프트웨어나 오픈소스의 취약점을 노리는 공급망 공격(supply chain attack)이 늘어나면서 이처럼 공동 대응체계의 필요성이 커지고 있습니다. 또한 SBOM(소프트웨어 구성요소 명세서)과 국내외 약 35만 건의 CVE(공개 취약점 목록) 정보를 연계해 새로운 취약점이 발견됐을 때 어떤 시스템이 영향을 받는지 빠르게 파악할 수 있도록 지원합니다.

앤트로픽 "AI, 공격 보조 넘어 오케스트레이터로"…샤이니헌터스 계열도 악용

앤트로픽이 자사 AI 모델 '클로드'를 악용한 사이버공격 사례를 분석한 위협 인텔리전스 보고서를 공개했습니다. 보고서에 따르면 AI가 단순한 코드 작성 도우미를 넘어 정찰·침투·데이터 탈취까지 공격 전 과정을 자동화하는 '오케스트레이터' 역할을 맡기 시작했습니다. 대규모 데이터 유출로 유명한 샤이니헌터스(ShinyHunters) 계열 공격자는 AI와 자동화 도구를 결합해 안드로이드 앱(APK) 180만 개에서 숨겨진 API 키와 클라우드 자격증명(계정 접속 정보)을 대량으로 수집했습니다. 실제 침해 사례에서는 개발자 토큰 하나만으로 3시간 만에 기업 클라우드 전체 관리자 권한을 탈취하고, SaaS 공급망을 통해 고객사 200여 곳의 데이터에 연쇄적으로 접근한 사례도 확인됐습니다. 기업들은 소스코드와 앱 내 하드코딩된 자격증명 점검, AI API 키의 엄격한 관리, 단기 수명 토큰 사용 등 즉각적인 대응이 필요합니다.

AI가 취약점 공격 개발 가속…오픈AI 직원 챗GPT·코덱스 계정까지 탈취

보안업체 핵트론(Hacktron) 연구진이 AI 도구를 활용해 이미지 처리 라이브러리(libheif)의 메모리 취약점을 실제 원격코드실행(원격에서 서버를 마음대로 제어할 수 있는 공격)으로 발전시키고, 오픈AI 커뮤니티 포럼 서버를 장악한 뒤 직원의 챗GPT·코덱스 계정까지 탈취하는 공격 경로를 확인했습니다. 특히 앤트로픽의 Claude Opus 5가 약 3시간 만에 실제 환경에 맞는 공격코드를 완성하는 데 핵심적으로 활용돼, AI가 고난도 취약점 악용의 진입 장벽을 크게 낮출 수 있음을 보여줬습니다. 오픈AI는 신고 14시간 만에 수정을 완료했고, 디스코스도 패치를 배포하며 이미지 처리 과정을 샌드박스로 격리하는 추가 조치를 적용했습니다. 이번 사례는 외부에 노출된 서비스와 내부 시스템이 동일한 SSO(통합 로그인) 신뢰 범위를 공유할 때 주변부 침해 하나가 내부 핵심 계정 탈취로 확산될 수 있음을 실증했습니다. 이미지 업로드 기능을 운영하거나 직원 계정에 AI 에이전트·협업 도구를 연결한 기업은 libheif 업데이트와 SSO 신뢰 범위 점검이 시급합니다.

네이버클라우드, 정부 '사이버보안 특화 AI 파운데이션 모델' 개발사업 최종 선정

한국 정부(과학기술정보통신부)가 사이버보안 전용 인공지능(AI) 기반 모델을 개발하는 사업의 수행기관으로 네이버클라우드 컨소시엄을 최종 선정했습니다. 이 사업은 취약점 분석, 악성코드 탐지, 위협 탐지 등 보안 업무를 AI가 스스로 처리할 수 있도록 여러 AI 에이전트(특정 업무를 자율 수행하는 AI 시스템)를 연계하는 기술을 개발하는 것이 목표입니다. 정부는 2026년 9월부터 10개월간 고성능 GPU(NVIDIA B200 256장)를 직접 지원하며 개발을 뒷받침할 예정입니다. 국내외 보안 기업들이 이미 AI 기반 보안 기술을 빠르게 도입하고 있는 만큼, 개발된 모델이 실제 보안 현장에서 어느 수준의 성능을 낼 수 있을지가 향후 핵심 평가 기준이 될 것으로 보입니다.

#AI #AI 에이전트 #공공기관