취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
공공정부가 AI 학습용으로 공개했던 'AI허브' 데이터 150종에 개인정보가 남아있는지 다시 점검하기로 했습니다. 한국지능정보사회진흥원(NIA)은 이미 한 차례 비식별화(누구인지 알아볼 수 없게 처리하는 작업)를 마친 텍스트·이미지·영상 데이터에서 이름, 연락처는 물론 얼굴, 차량번호판 같은 식별 가능한 정보가 남아있지 않은지 재검증하는 용역을 발주했습니다. 약 3억원 예산으로 12월까지 진행되며, 문제가 발견된 데이터셋은 전체를 정밀 검수하고 추가 비식별화를 거칩니다. 이는 정부가 흩어진 공공 AI 데이터를 통합 관리해 민간에 제공하는 시스템을 추진하는 것과 맞물려, 데이터 개방을 늘리면서도 개인정보 보호 수준을 높이려는 조치입니다.
자세히 보기
중요금융국내 가상자산 앱 지갑 서비스 '디센트(D'CENT)'를 운영하는 아이오트러스트에서 이용자 자산이 무단으로 빠져나가는 사고가 확산되고 있습니다. 신고 건수는 110건으로 늘었으며, 피해 자산은 리플(XRP)을 비롯해 비트코인·테더·트론(TRX)까지 확대됐습니다. 전문가들은 지난해 11월 5일 이전 구버전 앱이 개인키를 만들 때 사용하는 난수(예측하기 어려운 무작위 숫자)가 충분히 복잡하지 않았을 가능성을 유력한 원인으로 꼽고 있으며, 하드웨어 월렛을 사칭한 스미싱(악성 문자) 피싱도 추가 원인으로 조사되고 있습니다. 회사는 경찰청 사이버수사대 및 국내외 거래소에 피해 자산 동결을 요청했고, 구버전 앱 이용자에게 자산을 하드웨어 월렛으로 즉시 옮길 것을 권고하고 있습니다.
자세히 보기
중요기업보안업체 핵트론AI 연구진이 AI 모델 클로드를 활용해 오픈AI 커뮤니티 포럼의 취약점을 발견하고 공격 코드를 자동으로 작성, 서버에서 사용자 인증 토큰을 탈취했습니다. 일부 토큰은 오픈AI 직원 계정과 연결돼 있었고, 이를 통해 직원의 챗GPT·코덱스 계정은 물론 오픈AI 내부 비공개 코드 저장소(모노레포)까지 접근하는 데 성공했습니다. 저장소에는 AI 모델 운영 알고리즘 관련 기술이 담겨 있었으며, AI 모델 가중치는 포함되지 않았습니다. 연구진은 추가 열람을 자제하고 버그바운티(취약점 신고 포상 프로그램)를 통해 오픈AI에 신고해 6,500달러를 받았으며, 오픈AI는 해당 문제를 모두 수정했다고 밝혔습니다. 이번 사례는 AI가 사이버 공격 도구로 직접 활용될 수 있음을 실증한 사례로, 기업 보안 담당자들의 주의가 요구됩니다.
자세히 보기
금융추석 연휴를 앞두고 택배 오류나 과태료 미납을 사칭한 스미싱(문자 메시지를 이용한 피싱) 사기가 기승을 부릴 것으로 예상됩니다. 출처 불명의 링크를 클릭하면 악성 앱이 설치돼 개인정보와 금융정보가 탈취될 수 있습니다. 또한 중고 거래 플랫폼을 통한 외화 거래를 미끼로 보이스피싱 자금 세탁에 나도 모르게 연루될 수 있어 주의가 필요합니다. 악성 앱 감염이 의심되면 즉시 비행기 모드로 전환하고 이동통신사를 방문해 앱 삭제 및 기기 초기화를 해야 합니다. 카카오뱅크 등 금융사들은 연휴 기간 이상거래탐지시스템(FDS)을 24시간 운영하며 피해 예방에 나서고 있습니다.
자세히 보기
기업미국 NSA·CISA·FBI 세 기관이 공동 사이버보안 권고문(AA26-251A)을 발표하며, 딥시크·문샷AI·알리바바 등 중국 AI 기업 6곳이 Claude·GPT·Gemini·Grok 같은 미국 대형 AI 모델에서 수십억 개의 토큰을 무단으로 뽑아내 자사 모델 훈련에 사용했다고 지목했습니다. 주목할 점은 이 권고문이 '증류(distillation, 큰 모델의 출력을 학습 데이터로 삼아 다른 모델을 만드는 기법)' 행위를 단순 약관 위반이 아닌 MITRE ATLAS(AI 공격 기법 분류체계)에 매핑된 공격으로 격상시켰다는 것입니다. 또한 AI 제공사에게 의심 계정에는 몰래 성능을 낮춘 응답을 제공하되, 그 사실을 해당 사용자에게 알리지 말라고 권고해, 정상적으로 API를 사용하는 기업 고객도 영문도 모른 채 품질 저하를 겪을 수 있는 위험이 생겼습니다. 기업 실무자는 자체 회귀 테스트 세트를 구성하고, API 경로를 단순화하며, 계정을 개인 인증 단위로 분리하는 대응이 필요합니다.
자세히 보기
공공한국 정부(과학기술정보통신부)가 발주한 '사이버보안 특화 AI 파운데이션 모델 개발' 사업의 수행기관으로 네이버클라우드가 선정되어, 약 2000억원 상당의 자체 GPU 4000장을 투입해 보안 전용 AI 모델을 개발한다고 밝혔습니다. 네이버클라우드(방어)와 LG AI연구원(공격) 이 투 트랙으로 역할을 나눠, 공격 AI가 취약점을 찾으면 방어 AI가 이를 탐지·차단하는 방식으로 서로 성능을 높이는 구조입니다. 악성코드 프로파일링·공격 IP·전문가 대응 이력 등 830TB에 달하는 실전 보안 데이터를 학습에 활용하며, 내년 2월까지 약 300억 개 파라미터(300B) 규모의 모델을 완성하는 것이 중간 목표입니다. 완성된 모델은 금융·통신·전력 등 국가 기반시설에 우선 실증되고, 공공·국방처럼 망분리 규제가 강한 분야에는 직접 설치하는 구축형으로 제공될 예정입니다. 공격에 직접 악용될 수 있는 익스플로잇 하네스 등 일부 구성 요소는 공개 범위를 제한해 오남용을 막을 방침입니다.
자세히 보기
기업미국 국가안보국(NSA)·사이버보안인프라보안국(CISA)·연방수사국(FBI)이 중국 AI 기업 6곳이 미국 주요 AI 모델에서 대규모로 학습 데이터를 빼내고 있다는 공동 경보(AA26-251A)를 발표했습니다. 이 기업들은 2024년 말부터 수백만 건의 요청을 보내 수십억 개의 토큰(AI 학습에 쓰이는 텍스트 단위)을 Claude·GPT·Gemini·Grok 등의 모델에서 추출한 것으로 파악됩니다. 이는 미국 AI 기업들의 이용약관을 위반한 행위이며, 세 기관은 중국 정부가 이를 인지하고 있을 가능성이 높다고 밝혔습니다. API(프로그램 간 통신 접점) 접근 통제 강화, 비정상 사용량 탐지, 대규모 토큰 추출 차단 등 기술적 대응이 권고됩니다. 미국 정보기관이 특정 중국 기업을 공개 지목한 것은 이례적으로, 이번 경보는 AI 데이터 보안을 국가 차원의 위협으로 공식 규정한 첫 사례입니다.
자세히 보기
