취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
기업AI가 소프트웨어 취약점을 대량으로 찾아내고 있지만, 실제 공격에 악용되는 비율은 극히 낮다는 분석이 나왔습니다. 앤트로픽의 AI 모델이 발견한 225개 취약점 중 실제 공격에 쓰인 것은 단 1건(0.44%)으로, 취약점을 '발견'하는 것과 공격자가 '실제로 이용'하는 것은 다른 문제임을 보여줍니다. 한편 AI가 만든 보안 패치의 완전 성공률은 26%에 불과해, AI가 생성한 코드나 패치는 전문가 검토 없이 바로 적용하기 어렵습니다. 기업 보안팀 입장에서는 AI 덕분에 취약점이 급증하는 만큼, 단순히 개수보다 실제 공격 가능성과 자산 중요도를 따져 우선순위를 정하는 '위험 기반 취약점 관리'가 더욱 중요해지고 있습니다.
자세히 보기
공공한국인터넷진흥원(KISA)의 김은성 위협대응정책팀장이 사이버보안 전문 AI 모델의 필요성을 강조했습니다. 해외 범용 AI 모델은 성능이 뛰어나도 한국의 보안 환경과 문화에 맞지 않고, 국내 시스템 정보를 해외 서비스에 넘겨야 하는 위험도 있다고 지적했습니다. 전체 AI 경쟁에서 앞서기는 어렵더라도, 보안 분야에만 집중하면 세계적 수준의 보안 특화 AI를 만들 수 있다고 설명했습니다. KISA는 이러한 보안 특화 AI를 단순한 기술 제품이 아닌 국가 전략 자산으로 육성해야 한다는 입장입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 AI 기술의 확산으로 올해 전 세계 공개 취약점(CVE) 건수가 6만6000건에 달해 역대 최대치를 기록할 것이라고 경고했습니다. 공격자들도 AI를 활용해 취약점을 자동으로 탐색하고 있으며, 취약점이 공개된 당일 또는 그 이전에 공격이 시작되는 비율이 전체의 29%에 달합니다. 국내 침해사고 신고도 올해 상반기에만 1,236건으로 전년 대비 약 20% 증가했습니다. 미국은 고위험 취약점에 대한 조치 시한을 3일로 강화했으며, 한국도 KISA 취약점관리센터를 중심으로 발견·검증·조치·전파를 아우르는 전주기 대응 체계를 구축 중입니다. 기업 보안 담당자는 이제 취약점 수를 관리하는 수준을 넘어, 실제 위협 여부를 빠르게 판별하고 즉각 조치하는 역량이 핵심입니다.
자세히 보기
통신/IT네이버클라우드 컨소시엄이 보안 전용 인공지능(AI) 모델 2종을 개발하는 국가 프로젝트에 착수했습니다. GPU(그래픽처리장치) 4,512장과 보안 데이터 830TB를 활용해 공격형·방어형 AI 모델을 각각 만들고, 두 모델이 서로의 학습을 강화하는 방식으로 운영됩니다. 방어형 모델은 HyperCLOVA X 기반으로 위협 탐지·대응을, 공격형 모델은 EXAONE 기반으로 소스코드 취약점 분석을 담당합니다. 완성된 모델은 오픈소스로 공개되고 금융·전력·통신 등 국가 핵심 인프라에 실증 적용될 예정입니다. 중소기업 대상 취약점 점검 서비스 지원도 계획되어 있어, 국내 보안 생태계 전반에 영향을 줄 수 있는 사업입니다.
자세히 보기
통신/IT개인정보보호위원회(개인정보위)가 침해사고를 겪은 SK텔레콤·KT·LG유플러스 통신 3사와 함께 개인정보 보호 공동선언을 발표할 예정입니다. 오는 28일 서울 프레스센터에서 열리는 간담회에서는 AI 시대 사전예방 보호 체계 구축 방안을 논의합니다. 지난 11일부터 시행된 개정 개인정보 보호법에 따르면, 고의·중과실로 1,000만 명 이상의 개인정보를 유출한 기업은 전체 매출액의 최대 10%까지 과징금을 물 수 있습니다. 반면 개인정보 보호에 사전 투자한 기업은 과징금을 최대 40%까지 감경받을 수 있어, 기업들의 보안 투자 유인이 커졌습니다.
자세히 보기
중요기업보안 연구자 Patrick Wardle이 Meta의 AI 에이전트 앱 'Muse'의 Mac 버전에서 심각한 보안 취약점을 발견했습니다. 공격자가 이미 피해자의 Mac에서 코드를 실행할 수 있는 상태라면, 앱의 숨겨진 설정 하나를 바꾸는 것만으로 사용자의 음성 입력(받아쓰기)을 가로채 Muse를 완전한 백도어로 만들 수 있습니다. Muse는 파일·이메일·캘린더·스마트홈 등 사용자가 허용한 모든 앱에 접근할 수 있기 때문에, 이 취약점이 악용되면 공격자는 해당 권한을 그대로 이용해 위치 추적, 블루투스 스캔, 스마트홈 명령 실행 등 광범위한 행동을 지시할 수 있습니다. 현재 패치가 없으므로 위험을 줄이려면 Meta가 수정하기 전까지 Muse 앱을 삭제하거나 종료하는 것이 권장됩니다.
자세히 보기
공공2026년 9월 22일, 양자보안포럼이 주관하는 제9차 포럼이 열렸습니다. 성균관대 한정훈 교수는 양자컴퓨터가 '중첩'과 '얽힘'이라는 원리를 이용해 현재 인터넷 보안의 근간인 RSA 암호를 빠르게 풀 수 있는 잠재력을 가진다고 설명했습니다. 아직 대규모 실용화까지는 기술적 난제(큐비트 오류 정정 등)가 남아 있지만, 양자컴퓨터 시대에 대비해 양자키분배(QKD)와 양자내성암호(PQC) 기술 개발이 중요해지고 있습니다. 양자보안포럼은 이러한 위협에 맞서 민·관·학 협력으로 국가 사이버보안 역량을 강화하는 것을 목표로 삼고 있습니다. 기업 보안 담당자 입장에서는 당장의 위협은 아니지만, PQC 전환 준비를 중장기 과제로 검토할 시점임을 시사합니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 오픈AI의 보안 특화 AI 모델 'GPT-5.5 사이버'를 국가 기반시설 취약점 점검에 활용하기 시작했습니다. AI를 통해 기존에 일주일~한 달 걸리던 취약점 탐색 시간을 크게 단축했으며, 발견된 취약점 10건 중 5~6건이 실제 위협으로 확인됐습니다. 한편 공격자들도 AI를 활용하면서 취약점이 공개된 후 악용되는 시간이 수일에서 수시간으로 줄었고, 지난해 악용된 취약점의 29%는 공개 당일 또는 그 이전부터 이미 공격에 쓰였습니다. 반면 국내 기업의 평균 패치(취약점 수정) 소요 기간은 43일로 오히려 늘었고 완전 조치율도 26%에 불과해, '신속 패치' 의무화 법제화의 필요성이 제기됐습니다. 국내 보안 환경에 특화된 한국형 보안 AI 개발도 네이버클라우드 컨소시엄 주도로 착수된 상태입니다.
자세히 보기
기타이스트시큐리티가 추석 연휴를 앞두고 AI 기술을 이용한 신종 사기 4가지 유형을 공개하며 주의를 촉구했습니다. 불과 몇 초의 음성 샘플만으로 지인의 얼굴과 목소리를 실시간으로 흉내 낼 수 있는 기술이 범죄에 활발히 쓰이고 있어, 전화나 영상통화로 상대방이 맞는지 확인하기가 점점 어려워지고 있습니다. 또한 생성형 AI 덕분에 이름·소속까지 정확히 적힌 맞춤형 피싱 문자가 늘고 있으며, 택배·범칙금 등을 가장한 링크를 통해 원격제어 앱이 설치되면 금융 정보와 SNS 계정까지 한꺼번에 탈취될 수 있습니다. 전문가들은 가족끼리 암구호를 미리 정해두고, 출처가 불분명한 앱 설치를 차단하며, 의심 상황 발생 시 경찰청(112)이나 금융감독원(1332)에 즉시 신고할 것을 권고합니다.
자세히 보기
공공국회 과학기술정보방송통신위원회가 올해 국정감사에 개인정보 유출사고를 일으킨 기업들의 최고경영자(CEO)를 증인으로 소환합니다. 티빙, 메타코리아, 우아한형제들(배달의민족), 듀오, 토스페이먼츠 등 5개사 CEO가 국감장에 서게 됩니다. 전체 증인 29명 중 12명이 개인정보 침해·유출 관련 인사로, 이번 국감에서 개인정보 보호 문제가 핵심 의제임을 보여 줍니다. 이동통신 3사와 쿠팡의 정보보호최고책임자(CISO)도 주요 증인으로 채택됐습니다. 이는 개인정보 유출에 대한 정부와 국회의 강화된 책임 추궁 기조를 반영하며, 기업 보안 담당자들이 주목해야 할 규제 동향입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 국내 IT 환경에 특화된 '한국형 보안특화 AI 파운데이션 모델' 개발에 본격적으로 나섰습니다. 이는 훈련 중 통제망을 벗어나거나 사이버 무기로 악용될 수 있는 자율형 AI의 위험성이 커지면서, 국내 공공망을 해외 범용 AI에 의존하지 않고 스스로 방어하려는 전략입니다. 한글(HWP) 소프트웨어, 국산 보안모듈, 망분리 환경 등 한국 고유의 IT 인프라는 미국 중심의 범용 AI로는 표적형 위협 방어에 한계가 있고, 핵심 보안 로그 데이터를 해외 클라우드로 반출할 수 없다는 데이터 주권 문제도 독자 모델 개발의 배경입니다. KISA는 이 모델이 완성되면 글로벌 AI의 대규모 공격을 완전히 막지는 못하더라도 피해를 지연시키고 즉각 경보를 발령하는 '비대칭 방어 무기'가 될 것으로 기대합니다.
자세히 보기
기업아일랜드 데이터보호위원회(DPC)가 구글 아일랜드 법인이 이용자 위치정보를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다고 판단하고 약 6000억원(4억 300만 유로)의 과징금을 부과했습니다. 조사 결과 구글은 위치정보를 어떻게 쓰는지 이용자에게 충분히 설명하지 않았고, 필요 기간보다 오래 보관한 것으로 드러났습니다. 위치정보는 단순한 현재 위치를 넘어 생활 패턴·관심사까지 드러낼 수 있는 민감한 정보로, 이용자가 본인의 데이터가 광고 등에 활용된다는 사실을 인지하지 못한 채 통제권을 잃을 수 있었다는 것이 DPC의 판단입니다. 구글은 6개월 안에 위치정보 처리 방식을 개선하라는 명령도 함께 받았습니다. 이번 제재는 개인정보 처리 투명성과 보관 기간 준수가 GDPR 핵심 의무임을 재확인하는 사례입니다.
자세히 보기