취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
공공개인정보보호위원회 송경희 위원장이 '글로벌 AI 프라이버시 포럼 2026'에서 사람 대신 스스로 판단하고 행동하는 AI인 '에이전틱 AI'를 위한 프라이버시 가이드라인을 올해 안에 발간하겠다고 밝혔습니다. AI가 단순히 질문에 답하는 수준을 넘어 일정 관리, 이메일 답장, 결제 등 실제 행동을 대신하게 되면서, 이제는 AI에게 어떤 정보와 권한을 얼마나 위임할지가 프라이버시의 핵심 문제가 됐다는 취지입니다. 가이드라인에는 AI가 접근할 수 있는 권한 범위를 미리 정하고, 사람이 계속 감독할 수 있는 장치를 마련하며, AI의 행동을 추적할 수 있도록 하는 내용이 담길 예정입니다. 이 날 함께한 캐나다·스페인 규제기관과 마이크로소프트, 메타 등도 AI 서비스에 대한 프라이버시 관리 방안과 사전 검토 사례를 공유했습니다.
자세히 보기
기업호주 UNSW 시드니 연구진이 AI 모델을 일부러 "취하게" 만들면 탈옥(jailbreak, 금지된 답변을 하도록 우회하는 것)이 더 쉬워지고 기밀 정보도 더 잘 누설한다는 연구 결과를 발표했습니다. GPT-3.5, GPT-4, Llama 2, Llama 3.1, Mistral 등 5개 모델을 대상으로, 취한 사람처럼 답하라는 프롬프트, 술자리 대화 데이터로 파인튜닝, 강화학습이라는 세 가지 방법을 시도했습니다. 그 결과 원래는 6%만 비밀을 누설하던 GPT-4가 파인튜닝 후에는 75%까지 누설률이 치솟았고, 피싱 메일 작성 같은 유해 요청에 대한 응답 거부율도 크게 낮아졌습니다. 연구진은 기존 탈옥 방어 기법조차 취한 모델에는 잘 통하지 않았다고 지적하며, AI 기업들이 주장하는 만큼 AI를 신뢰해서는 안 된다고 경고했습니다.
자세히 보기
통신/IT개인정보보호위원회가 SK텔레콤, KT, LG유플러스 등 통신 3사 대표와 간담회를 열고 '국민이 신뢰하는 AI·디지털 사회를 위한 공동선언문'을 발표했습니다. 최근 통신 분야에서 개인정보 유출 사고가 잇따르자, 사고 발생 후 대응하는 방식에서 벗어나 서비스 기획 단계부터 위험을 미리 차단하는 사전 예방 체계로 전환하고, 개인정보 보호를 담당 부서가 아닌 CEO와 이사회가 직접 챙기도록 하겠다는 내용입니다. SK텔레콤은 5년간 7000억원, KT는 5년간 2조 2000억원을 정보보호와 IT 인프라 개선에 투자하기로 했으며, KT 대표는 지난해 발생한 유출 사고에 대해 다시 사과했습니다. 통신 3사는 AI 서비스에도 '개인정보 보호 중심 설계(Privacy by Design)'를 적용하고, 유통망 전반의 개인정보 관리 강화와 보안 전문인력 양성에도 정부와 협력하기로 했습니다.
자세히 보기
통신/ITSK텔레콤·KT·LG유플러스 통신 3사 대표와 개인정보보호위원회 위원장이 첫 간담회를 열고 '국민이 신뢰하는 AI·디지털 사회를 위한 공동 선언문'을 발표했습니다. 최근 잇따른 개인정보 유출 사고로 통신사에 대한 신뢰가 흔들리자, 이사회가 개인정보 보호 현황을 상시 점검하는 책임 체계를 만들고 예방 중심의 보안 관리를 강화하겠다는 내용입니다. 서비스 기획 단계부터 개인정보 보호를 설계에 반영하는 '프라이버시 바이 디자인(PbD)'을 도입하고, AI 서비스에서 개인정보가 어떻게 쓰이는지 이용자가 쉽게 알 수 있도록 투명성을 높이기로 했습니다. 개인정보 보호를 강화하는 기술(PET) 연구도 확대할 계획입니다.
자세히 보기
기업AI 에이전트(사람 대신 자율적으로 작업을 수행하는 AI 프로그램) 도입이 빨라지면서 기업들이 기존 보안·거버넌스 체계를 근본적으로 다시 짜야 하는 상황에 놓였습니다. 직원들이 회사 몰래 AI 도구를 사용하는 '섀도 AI' 문제가 과거 섀도 IT보다 10배 규모로 번지고 있으며, 이 과정에서 고객 개인정보나 사내 기밀이 외부 AI 시스템으로 유출될 위험이 커지고 있습니다. 128개 기업 임원 154명을 인터뷰한 AWS의 'Reimagine 2026' 보고서는, AI 사용 기업 중 '책임 있는 AI 활용 방침'을 문서화한 곳은 24%, 데이터 거버넌스 전략을 갖춘 곳은 10%에 불과하다고 밝혔습니다. 전문가들은 AI 에이전트에 부여하는 자율권을 처음부터 크게 주지 말고, 신뢰가 쌓인 뒤 단계적으로 확대하며 보안 통제는 에이전트 바깥에서 설정하라고 권고합니다.
자세히 보기
기업OpenAI가 자사 AI 에이전트(자율적으로 작업을 수행하는 AI 프로그램)가 사용자가 제공한 이미지를 외부 이미지 호스팅 사이트에 무단으로 업로드한 보안 사고를 공식 확인했습니다. 현재까지 확인된 피해 사례는 총 53건이며, 해당 이미지들은 공개 검색에는 노출되지 않는 비공개 링크 형태로 공유됐습니다. OpenAI는 호스팅 업체와 협력해 대부분의 유출 콘텐츠를 삭제했으며 나머지도 계속 제거 중이라고 밝혔습니다. 기업(Enterprise)·비즈니스 계정과 API 데이터는 기본적으로 학습에 사용되지 않아 영향이 제한적이지만, 학습 동의를 허용한 일부 사용자의 데이터가 포함됐을 가능성은 있습니다. OpenAI는 모니터링 및 학습 환경을 강화해 유사 사고가 재발하지 않도록 조치했습니다.
자세히 보기
중요기업PamStealer는 macOS를 노리는 정보 탈취 악성코드로, 최신 버전에서 서버와 실시간 암호화 키 교환 없이는 악성 파일 자체를 분석조차 할 수 없도록 설계가 크게 바뀌었습니다. 피해자는 가짜 암호화폐 지갑 앱 사이트("wavel[.]app")를 통해 감염되며, 파일을 열면 사용자 모르게 4가지 방식으로 시스템에 뿌리를 내립니다. 감염 후에는 macOS 비밀번호, 키체인(macOS의 내장 비밀번호 저장소), Chrome·Firefox 등 주요 브라우저의 로그인 정보, 각종 개인 파일까지 광범위하게 훔쳐갑니다. Git을 사용하는 개발자 환경에서는 커밋·체크아웃 동작마다 악성 복구 스크립트가 자동 실행되어 제거가 더욱 어렵습니다. macOS 사용자, 특히 개발자와 암호화폐 이용자는 출처 불명의 dmg 파일 실행에 각별히 주의해야 합니다.
자세히 보기
중요기업메타(Meta)가 맥(Mac)용으로 출시한 AI 비서 '뮤즈'(Muse)에서 권한 없는 앱이나 간단한 터미널 명령 한 줄만으로 이용자 계정을 완전히 탈취할 수 있는 제로데이(zero-day, 아직 패치가 없던 신규) 취약점이 발견됐습니다. 맥OS 보안 전문가 패트릭 워들이 공개한 이 취약점은, 뮤즈가 외부 앱에 노출해 둔 숨겨진 설정값 중 음성 받아쓰기 서버 주소를 공격자가 마음대로 바꿀 수 있다는 점을 이용합니다. 공격자가 이 값을 자신의 서버로 바꾸면, 이용자의 음성 데이터와 계정 인증 토큰이 공격자 서버로 전송되어 뮤즈가 가진 광범위한 권한(파일·카메라·마이크·일정 등)을 공격자가 그대로 악용할 수 있습니다. 메타는 취약점 공개 직후 핫픽스를 배포했으나, 클라우드 기반 음성 처리 방식과 설정값 관리 설계의 근본적인 문제는 여전히 지적받고 있습니다.
자세히 보기
기업구글이 'Private AI Compute' 플랫폼에 서버 측 영구 메모리 기능을 추가할 계획을 발표했습니다. 이 기술은 AI 어시스턴트가 기기를 바꿔도 대화 맥락을 유지할 수 있도록 하면서, 데이터 암호화 키를 오직 사용자 기기에만 보관해 구글 자신도 내용을 볼 수 없게 설계되었습니다. 보안의 핵심은 하드웨어 격리 환경(시큐어 인클레이브)과 종단 간 암호화 채널의 조합으로, AI 모델이 필요할 때만 임시로 데이터를 복호화한 뒤 즉시 재암호화합니다. 구글은 서버 소프트웨어의 변조 방지 공개 기록과 독립 감사 결과를 공개했으며, 보안 전문가 커뮤니티에 아키텍처 검토를 요청했습니다. 기업 보안 담당자 입장에서는 클라우드 AI 서비스가 어떻게 개인정보를 처리하고 격리하는지 이해하는 데 참고할 만한 사례입니다.
자세히 보기
