오늘의 보안 뉴스 - 2026-09-12
오늘의 브리핑
- 깃랩에서 CVSS 10점의 심각한 경로 이탈 취약점이 발견되어 즉시 패치가 필요합니다.
- 생성형 AI 모델을 활용한 사이버 공격 및 악성코드 재설계 위협이 가시화되고 있습니다.
- 취약점의 단순 위험도 점수보다 실제 공격 경로와 보안 통제 환경을 고려한 대응이 중요합니다.
데일리시큐
시선AI, 공군 국방망에 AI 코딩·보안 자동화 플랫폼 구축
시선AI가 공군 국방망의 AI 코딩 및 보안 자동화 플랫폼 구축 사업을 수주했습니다.
시선AI는 과학기술정보통신부 산하 정보통신기획평가원(IITP)이 주관하는 국방 부문 AI 응용제품 신속상용화 지원사업을 수주했다고 발표했습니다. 이번 사업은 총 24억 5,000만 원 규모로 대한민국 공군 국방망에 온프레미스 AI 코드 어시스턴트 및 소스코드 보안 자동 점검 에이전트를 구축하는 프로젝트입니다.
옵스왓·인섹시큐리티, N²SF 대응 소프트웨어 공급망 통합 보안 세미나 개최
옵스왓과 인섹시큐리티가 N²SF 대응 소프트웨어 공급망 보안 세미나를 개최합니다.
인섹시큐리티는 옵스왓과 함께 오는 10월 14일 서울 독산동 교육센터에서 국가 망 보안체계(N²SF) 대응을 위한 세미나를 개최합니다. 이번 행사는 소프트웨어 개발부터 배포 단계까지의 공급망 위험 점검과 망간 안전한 데이터 전송 방안을 다룰 예정입니다.
금융보안원, 보이스피싱 대응 ‘ASAP 활용 설명회’ 개최
금융보안원이 보이스피싱 정보 공유를 위한 ASAP 활용 설명회를 개최했습니다.
금융보안원은 금융회사 및 가상자산거래소 실무자 200여 명을 대상으로 AI 기반 정보공유 플랫폼인 ASAP 설명회를 진행했습니다. 최근 통신사기피해환급법 개정으로 제2금융권과 통신사, 수사기관까지 정보 공유 범위가 확대됨에 따라 플랫폼 개편 사항 및 신속한 보이스피싱 대응 방안을 논의했습니다.
엔키화이트햇, 금융권 AI 위협 대응 강조…“레드티밍도 자동화·상시 검증 체계로”
엔키화이트햇이 금융권 제로트러스트 및 AI 위협 대응 방안을 제시했습니다.
오펜시브 보안 전문기업 엔키화이트햇은 제5회 금융보안워크숍에서 실제 금융권 레드티밍(공격자 관점 보안 점검) 사례를 바탕으로 AI 시대 사이버 위협 대응책을 발표했습니다. 회사 측은 기존의 점진적 보안 점검을 넘어 자동화되고 상시화된 검증 체계 도입의 필요성을 강조했습니다.
피앤피시큐어, ‘2026 대한민국 일자리 으뜸기업’ 선정
피앤피시큐어가 고용노동부 주관 ‘2026 대한민국 일자리 으뜸기업’에 선정됐습니다.
통합 접근제어 및 ID 보안 기업 피앤피시큐어가 양질의 일자리 창출과 근로환경 개선 공로를 인정받아 고용노동부의 일자리 으뜸기업 인증을 받았습니다.
The Hacker News
깃랩, 취약점 공개 직후 CVSS 10점 최고 위험도 파일 읽기 공격 탐지
깃랩 서버의 임의 파일을 읽을 수 있는 CVSS 10.0의 최고 위험도 취약점이 공격에 노출되었습니다.
깃랩(GitLab)이 공개 직후부터 실제 공격 시도가 탐지된 최고 수준의 보안 취약점에 대한 긴급 패치를 발표했습니다. 이번에 공개된 취약점은 CVE-2026-85706으로, Common Vulnerability Scoring System(CVSS, 공통 취약점 점수 시스템) 기준 최고점인 10.0점을 기록했습니다. 해당 결함은 깃랩의 저장소 커밋 API(인터페이스)에 존재하는 경로 이탈(Path Traversal) 취약점으로, 인증되지 않은 원격 공격자가 서버 내의 임의 파일을 무단으로 읽을 수 있는 위험을 내포하고 있습니다. 취약점이 공표된 지 단 몇 시간 만에 무작위 탐색 공격이 관측되었습니다. 이는 공격자들이 자동화 도구를 사용해 취약한 서버를 적극적으로 탐색하고 있음을 의미합니다. 시스템 관리자는 정보 유출 방지를 위해 즉시 최신 보안 패치를 적용해야 합니다. 기사는 관련 관리자들에게 해당 취약점 패치를 즉시 적용할 것을 강력히 권고했습니다.
앤트로픽, 중국 계열 AI 연구소 7곳의 대규모 클로드 증류 공격 차단
앤트로픽이 중국 AI 연구소들의 대규모 클로드 모델 무단 증류 공격을 차단했습니다.
AI 기업 앤트로픽(Anthropic)은 자사의 클로드(Claude) 모델을 대상으로 중국에 기반을 둔 7개 AI 연구소가 감행한 산업적 규모의 무단 지식 증류 공격을 적발하고 차단했다고 밝혔습니다. 적발된 공격 주체에는 알리바바, 딥시크, Z.ai(지푸), 문샷, 미니맥스 등이 포함되어 있습니다. 지식 증류(Knowledge Distillation)는 대형 교사 모델의 지식을 소형 학생 모델로 전달해 성능을 높이는 정상적인 학습 기법입니다. 그러나 타사의 고급 AI 모델 출력을 무단으로 대량 추출하여 자사 AI 학습에 악용하는 것은 지적 재산권 침해 및 서비스 이용 약관 위반에 해당합니다. 이번 사건은 글로벌 AI 개발사 간의 기술 경쟁 속에서 지식 재산 보호 및 모델 보안의 중요성이 커지고 있음을 시사합니다. AI 모델에 대한 무단 접근 및 데이터 추출을 방지하기 위한 보안 통제 강화가 요구됩니다.
사이버 공격자들, 취약점 공격 및 데이터 도난 자동화에 클로드 악용
사이버 범죄자들이 클로드 AI를 악용해 공격 자동화 및 데이터 탈취를 감행하고 있습니다.
앤트로픽의 최신 경고에 따르면 사이버 범죄자와 국가 지원 해킹 조직들이 자사의 클로드 AI 모델을 사이버 공격 및 데이터 탈취에 악용하고 있는 것으로 밝혀졌습니다. 이들은 2025년 12월부터 2026년 8월 사이에 AI를 활용하여 공격 절차를 자동화하고 무기 설계, 선전 활동, 대량 감시를 수행했습니다. 앤트로픽은 이러한 위협 주체들을 생성형 위협 그룹(GTG, Generative Threat Group)으로 정의하고 이들의 활동을 추적했습니다. GTG에는 국가 지원 형사 그룹, 금전적 목적의 범죄자, 상업적 위협 세력 등이 포함됩니다. AI 기술이 공격의 문턱을 낮추고 피해 범위를 넓히는 도구로 전락하면서 이에 대응하는 보안 체계의 진화가 시급해졌습니다. AI 오남용을 막기 위한 모니터링 체계 수립이 매우 중요해지고 있습니다.
러시아 정부 지원 해커들, 탐지된 악성코드 재설계에 클로드 활용
러시아 정부 연계 해커들이 보안 탐지를 회피하기 위해 클로드 AI로 악성코드를 재설계했습니다.
러시아 정부의 지원을 받는 사이버 스파이 그룹이 보안 솔루션의 탐지를 우회하기 위해 클로드 AI를 악용하다 앤트로픽에 의해 적발되었습니다. GTG-20006으로 명명된 이 공격 그룹은 기존에 미드나잇 블리자드(Midnight Blizzard)로 알려진 위협 주체와 연계되어 있습니다. 이들은 기존 악성코드가 보안 시스템에 의해 탐지되면, AI를 활용해 악성코드의 구조를 자동으로 재설계하는 워크플로우를 구축했습니다. 이러한 방식은 보안 분석가의 시그니처 분석을 무력화하고 탐지 우회 속도를 극대화하기 위해 사용되었습니다. 보안 솔루션의 탐지망과 공격자의 회피 기술 간 격차가 AI로 인해 더욱 좁아지고 있음을 보여줍니다. 기사는 생성형 AI를 활용한 신종 탐지 우회 공격 패턴에 대한 지속적인 관찰이 필요함을 시사합니다.
치명적인 취약점이 반드시 가장 큰 보안 위험은 아닌 이유
취약점의 심각도 점수보다 실제 도달 가능한 공격 경로 파악이 위험 관리의 핵심입니다.
보안팀의 취약점 탐지 능력은 눈부시게 발전했으나, 이제는 발견된 취약점 중 어떤 것이 실제 침해로 이어지는지 분석하는 최적화 작업에 집중해야 합니다. 자동화 스캐너에서 최고 위험도로 분류된 취약점이라도 강력한 네트워크 분리(Segmentation)나 계정 제어 장치 뒤에 보호되어 있다면 실제 공격 성공 가능성은 낮을 수 있습니다. 반면 심각도 점수가 낮더라도 적절한 통제 장치가 없는 자산의 취약점은 시스템 전체를 위협하는 침투 통로가 될 수 있습니다. 따라서 단순한 취약점 점수(CVSS)에만 의존하기보다 내부 통제 환경과 실제 공격 경로를 고려한 위험 산정이 필요합니다. 조직은 제한된 보안 자원을 효율적으로 배분하기 위해 공격 가능 경로 중심의 대응 체계로 전환해야 합니다. 기사는 취약점 우선순위 지정 프로세스를 최적화할 것을 권고했습니다.
오늘의 용어
- 경로 이탈(Path Traversal) - 파일 경로 입력값을 조작해 정해진 디렉터리를 벗어나 시스템의 주요 내부 파일에 접근하는 공격 기법
- 지식 증류(Knowledge Distillation) - 성능이 뛰어난 대형 AI 모델의 출력 데이터를 활용해 작고 가벼운 모델을 효율적으로 학습시키는 기술
- 생성형 위협 그룹(GTG, Generative Threat Group) - 생성형 AI 기술을 사이버 공격, 소셜 엔지니어링, 악성코드 개발 등에 적극 활용하는 위협 주체
- 탐지 회피(Evasion Technique) - 보안 솔루션의 시그니처나 행위 기반 탐지망을 피해 악성코드의 형태를 변형하거나 숨기는 공격 기법
- 공격 경로(Attack Path) - 공격자가 내부 자산에 접근하여 침해를 성공시키기 위해 이용할 수 있는 일련의 취약점 및 연계 통로