공격자들이 챗GPT와 클로드의 대화 공유 기능을 악용하여 사용자의 기기에 악성코드를 감염시키는 새로운 기법('LLMShare')을 사용하고 있습니다. 생성된 공유 링크는 플랫폼의 신뢰할 수 있는 도메인을 사용하여 보안 탐지를 우회하며, 검색 광고를 통해 사용자를 유인합니다. 보안 도구가 탐지하기 어렵고 사용자가 쉽게 속을 수 있어 각별한 주의가 필요한 보안 위협입니다.
네덜란드 경찰과 국가사이버안보센터(NCSC)의 합동 단속으로 1,700만 대 이상의 기기를 감염시킨 대규모 봇넷이 해체되었습니다. 이 봇넷은 러시아 기반 프록시 서비스 업체인 ASOCKS와 연결되어 있으며, DDoS 공격 및 피싱 등 범죄 목적으로 악용되었습니다. 보안 전문가의 제보로 시작된 이번 조치는 사이버 범죄의 익명성 우회 기법을 차단했다는 점에서 매우 중요한 의미를 갖습니다.
최신 AI가 시각적 이미지 분류에서 인간을 능가하지만, 문제 해결 과정(클릭 패턴, 오류 유형 등)에서 인간과 통계적으로 유의미한 차이를 보입니다. 연구진은 30개의 인지 심리학 과제를 결합한 'CogCAPTCHA30' 벤치마크를 제안하여 기존 튜링 테스트의 한계를 넘어 AI의 인지 과정을 평가하는 '프로세스 튜링 테스트' 개념을 도입했습니다. 흥미롭게도 최신 대형 프론티어 모델보다 인간의 행동 데이터로 미세조정된 소규모 오픈소스 모델이 인간의 인지 과정과 더 유사한 것으로 나타났습니다.
소프트웨어 보안 위협이 증가함에 따라, LLM(대형 언어 모델)을 활용해 취약점을 자동으로 탐지하고 재현하는 다중 에이전트 시스템 'FuzzingBrain V2'가 새롭게 발표되었습니다. 이 시스템은 기존 방식의 한계였던 높은 오탐지율과 복잡한 의존성 분석의 어려움을 새로운 제어 흐름 기반 추상화 및 퍼징(Fuzzing) 기술을 통해 해결합니다. 특히 실제 오픈소스 프로젝트에 적용하여 29개의 제로데이 취약점을 발견하고 패치를 이끌어냈다는 점에서 AI 기반 보안 기술의 실용성이 입증되었다는 평가를 받습니다.
일반인이 배우자나 연인의 스마트폰에 몰래 설치해 위치와 개인정보를 추적하는 '스토커웨어(Spouseware)' 산업의 실태를 다룬 인터뷰입니다. 테크크런치(TechCrunch)의 편집자 잭 휘태커는 이 문제가 이미 상상을 초월할 정도로 광범위하게 퍼져 있음을 지적합니다. 수십만 명의 프라이버시가 침해되고 있는 이 심각한 보안 위협의 배경과 영향을 확인해 볼 수 있습니다.
에이전틱 AI(Agentic AI)의 발전으로 소프트웨어 취약점 발굴 및 익스플로잇 개발이 자동화되면서, 기업들의 버그 바운티 프로그램에 보고서가 폭증하고 있습니다. AI를 활용한 공격자들의 위협이 고도화됨에 따라, 기존의 90일 취약점 공개 정책 등 보안 패치 관행이 앞당겨지고 제로데이 공격 방어를 위한 방어자들과 공격자들 간의 경쟁이 더욱 치열해지고 있습니다.
퍼플렉시티(Perplexity)가 자사 개발자 시스템을 보호하기 위해 내부적으로 사용하던 보안 도구인 Bumblebee를 오픈소스로 공개했습니다. 이 도구는 macOS와 Linux 환경에서 패키지 매니저를 실행하거나 코드를 작동시키지 않고도 소프트웨어 공급망을 안전하게 스캔하는 읽기 전용 방식이 특징입니다. 개발자 엔드포인트 내의 다양한 패키지와 확장 프로그램의 인벤토리를 수집하여 공급망 보안을 강화하는 데 유용하게 활용될 수 있습니다.
미국 국가교통안전위원회(NTSB)의 공개 데이터를 바탕으로 AI 음성 복원 기술을 활용해 사고로 사망한 조종사들의 목소리가 복원되어 인터넷에 유포된 사건이 발생했습니다. 이에 NTSB는 즉시 공개 시스템 접근을 일시 차단하고 보안 조치를 강화했습니다. 이 사건은 공개된 비민감 데이터라도 AI 기술을 통해 민감한 개인정보나 충격적인 콘텐츠로 복원될 수 있다는 새로운 윤리적, 보안적 리스크를 시사합니다.
기존에 출시되어 있던 정상적인 게임의 개발자 계정이 해킹당해 공포 게임으로 위장해 악성코드가 유포된 사건입니다. 해당 악성코드는 게임 실행 중 오류가 발생해도 백그라운드에서 실행되어 브라우저 정보 및 암호화폐 지갑 데이터를 탈취합니다. 이 사건은 스팀의 게임 업데이트 및 패치 검증 절차의 취약성을 보여주는 사례로 보안에 큰 주의가 필요합니다.
해킹 집단 'TeamPCP'가 소프트웨어 공급망을 전례 없는 규모로 공격하여 수백 개의 오픈소스 도구를 감염시키고 기업들을 표적으로 삼고 있습니다. 이들은 개발자들이 자주 사용하는 도구에 악성코드를 심는 순환적 방식을 통해 마이크로소프트의 깃허브(GitHub), 오픈AI 등 수많은 기업의 내부망에 침투했습니다. 자동화된 웜 바이러스까지 동원되는 이들의 연쇄 공격은 전 세계 소프트웨어 생태계의 근간을 위협하는 매우 심각한 보안 사태로 평가됩니다.
트럼프 미국 대통령은 AI 모델 출시 전 정부 평가를 의무화하려던 안보 행정명령 서명을 연기했습니다. 그는 중국 등 경쟁국을 상대로 한 미국의 AI 기술 우위를 저해할 수 있다는 우려를 이유로 들었습니다. 업계 관계자들에 따르면 짧은 통보로 인해 기업 CEO들이 행사에 참석하지 못한 것도 연기의 배경이 된 것으로 알려졌습니다.
오픈소스 보안 대안 프로젝트인 나노클로우(NanoClaw)가 바이럴 성공을 바탕으로 1,200만 달러(약 160억 원)의 시드 투자를 유치했습니다. 개발자는 안전성과 샌드박스 컨테이너 환경 실행이라는 기술적 차별성을 바탕으로 자사를 2,000만 달러(약 270억 원)에 인수하겠다는 제안을 거절하고 독자적인 기업 성장을 선택했습니다. 이는 오픈소스 커뮤니티의 성장이 창출하는 비즈니스 가치와 B2B 엔터프라이즈 시장으로의 확장 가능성을 보여주는 중요한 사례입니다.
이스라엘 출신의 10대 해커였던 샤이 슈워츠(Shay Shwartz)가 자신의 사이버 보안 역량을 공격이 아닌 방어에 활용하기로 결심한 후 창업한 이메일 보안 스타트업 오션(Ocean)이 2,800만 달러의 시드 자금을 유치하며 본격적인 서비스에 나섰습니다. 이 회사는 대형 언어 모델(LLM)을 악용해 대규모로 발생하는 AI 기반 스피어 피싱(표적형 피싱) 공격을 탐지하기 위해 사용자의 조직 맥락을 분석하는 특화된 소형 언어 모델을 개발했습니다. Wiz 및 Armis 등 유명 사이버 보안 유니콘 창업자들이 투자에 참여하며 AI 시대의 새로운 이메일 보안 패러다임에 대한 기대감을 보여주고 있습니다.
클라우드플레어는 보안 특화 AI 모델인 앤스로픽의 'Mythos Preview'를 자체 코드에 테스트한 결과, 기존 최고 수준 모델들이 찾지 못한 취약점을 스스로 연결해 실제 익스플로잇을 구성할 수 있음을 확인했습니다. 이 모델은 PoC 코드를 직접 작성, 컴파일, 실행하며 위협의 실재성을 입증하고 인간의 개입을 최소화했습니다. 해당 기술은 방어뿐만 아니라 공격자들에게도 악용될 수 있다는 점에서 보안 패러다임의 중요한 전환점을 시사합니다.
단 한 명의 해커가 상용 AI(Claude, ChatGPT)를 악용해 멕시코 정부 시스템을 해킹해 1.95억 건의 납세자 기록 등 150GB의 데이터를 탈취하는 대규모 사건이 발생했습니다. AI가 새로운 해킹 기법을 발명한 것은 아니지만, 공격에 필요한 비용과 전문 지식의 장벽을 획기적으로 낮춰 일반인도 악의적인 목적으로 고도화된 사이버 공격을 손쉽게 실행할 수 있게 되었음을 보여줍니다.
카네기멜런 대학교 연구진이 구글 V8 자바스크립트 엔진의 실제 취약점을 공격하는 AI 에이전트의 능력을 평가하는 새로운 벤치마크를 개발했습니다. 앤스로픽의 '클로드 미토스(Claude Mythos)' 모델은 OpenAI의 'GPT-5.5'를 압도적으로 제치고 능숙한 인간 보안 연구원과 맞먹는 수준의 해킹 능력을 입증했습니다. 다만 미토스의 테스트 비용이 GPT-5.5보다 12배 가까이 높게 책정되어, 성능 대비 높은 비용 효율성의 문제가 제기되었습니다.
아마존이 사내 AI 도구 도입을 장려하며 주간 사용량을 추적하고 리더보드를 공개하자, 직원들 사이에서 실적을 채우기 위해 불필요한 작업을 억지로 AI에 맡기는 이른바 '토큰 맥스밍(Tokenmaxxing)' 현상이 벌어지고 있습니다. 경영진은 성과 평가에 반영하지 않는다고 했으나, 직원들은 관리자가 이를 모니터링할 것이라고 우려하며 경쟁적인 분위기 속에서 형식적인 AI 활용이 조장되는 부작용이 발생했습니다. 이는 막대한 AI 인프라에 투자한 빅테크 기업들이 내부적인 AI 활용 지표를 강제하면서 발생하는 반면교사로, 실무자들에게 보안 문제와 함께 조직적 부작용을 고민하게 만듭니다.
구글이 새로운 계정 생성 시 기존 SMS 인증을 QR 코드 스캔으로 대체했습니다. 공식적인 이유는 보안 강화지만, 사실상 사용자의 익명성을 완전히 박탈하는 결과를 초래했습니다. 이제 개인 정보를 철저히 숨기고 구글 계정을 만드는 것은 불가능해졌습니다.
본 튜토리얼은 기존 문자열 분석의 한계를 넘어 FLARE-FLOSS를 활용해 윈도우 PE 파일에서 난독화된 문자열을 복구하는 방법을 다룹니다. FLOSS와 MinGW-w64 크로스 컴파일러를 설정한 후, 다양한 난독화 기법(정적, 스택 빌드, 타이트, XOR 디코딩)이 적용된 멀웨어 형태의 실행 파일을 생성하여 분석 및 비교 과정을 설명합니다. 이를 통해 보안 실무자들이 분석을 방해하는 난독화 문자열을 효과적으로 추출하여 숨겨진 침해 지표(IOC)를 확보하는 데 큰 도움을 얻을 수 있습니다.
미국 전역의 학교와 대학에서 기말고사를 앞둔 시점에 온라인 학습 플랫폼인 Canvas에 사이버 공격이 발생해 시스템이 중단되는 혼란이 빚어졌습니다. 랜섬웨어 그룹인 ShinyHunters는 자신들이 공격의 배경이며 수백만 명의 사용자 데이터를 유출했다고 주장했습니다. 모회사 Instructure는 위협을 감지해 일시적으로 시스템을 중단시킨 데 이어 복구를 완료했으나, 비밀번호나 금융 정보를 제외한 사용자 이름, 이메일, 학번 등의 개인정보가 유출되었음을 확인했습니다.
이번 주 블로그 뒷이야기에서는 전 세계 사기 행위에 악용되는 중국의 실시간 딥페이크 소프트웨어를 심층 취재하며 겪은 기자들의 생생한 고충과 윤리적 고민을 공유합니다. 특히 수주간의 위장 취재 끝에 위법 소프트웨어를 입수하고 테스트하는 과정에서 겪은 기술적, 도덕적 딜레마를 다루고 있어 주목할 만합니다.
글로벌 학습 관리 플랫폼인 캔버스(Canvas)가 해킹 그룹 샤이니헌터스(ShinyHunters)의 대규모 데이터 유출 협박으로 인해 일시적으로 전면 중단된 후 서비스를 재개했습니다. 이번 사건으로 인해 학생 이름, 이메일, 학번 등의 개인정보 유출 위협이 확인되었으며, 운영사 인스트럭처(Instructure)는 보안 패치와 함께 원인이 된 무료 교사 계정을 전면 폐쇄했습니다. 2,750만 명의 민감한 교육 데이터가 유포될 수 있는 초유의 사태로, 학교 및 교육 기관의 플랫폼 보안 강화가 시급한 과제로 떠올랐습니다.
자동차 촉매 변환기(catalytic converter) 절도 문제가 심각한데도, 외부에 노출된 형태의 장비 설치를 추진한다는 점이 비판받고 있습니다. 작성자는 새로운 배치 방식이 도난 위험을 키울 수 있다고 우려하며 이 조치의 무책임함을 지적합니다.
미국의 인기 트위치 정치 평론가 하산 파이커가 자신의 일상과 기기 사용 습관, 그리고 AI에 대한 강한 반감을 공개했습니다. 그는 개인정보 보호를 위해 최신 기기를 사용해야 하지만 새로운 iOS의 불편함을 겪고 있으며, 엑스(옛 트위터)에서 '우경화(Ultimate Woke)' 전사로서 활발히 활동 중입니다. 또한 그는 AI 아바타를 쓰는 사람들과의 논쟁 등을 통해 생성형 AI 기술에 대한 강한 비판적 입장을 취하고 있습니다.
전 세계적으로 널리 사용되는 디스크 이미지 마운트 프로그램인 Daemon Tools가 한 달간 공급망 공급망 공격을 받아 악성 업데이트가 배포되었습니다. 공격자는 개발사의 공식 서명이 적용된 설치 파일을 통해 시스템 정보를 수집하고, 특정 기관을 선별해 추가 백도어를 심었습니다. 사용자는 공식 채널에서 업데이트만 진행했을 뿐인데도 감염될 수 있으므로, 해당 기간 Daemon Tools를 설치한 적이 있는 조직은 시스템 감염 여부를 즉시 확인해야 합니다.
우분투와 모회사 캐노니컬(Canonical)의 서버들이 친(親)이란 성향의 해킹 단체에 의한 대규모 DDoS 공격을 받아 24시간 이상 오프라인 상태가 되었습니다. 이로 인해 최근 공개된 치명적인 리눅스 취약점과 관련된 보안 업데이트 및 가이드 공유에 차질이 빚어지고 있습니다. 다행히 미러 사이트를 통한 OS 업데이트는 정상적으로 이용 가능한 상황입니다.
오픈AI의 샘 알트만은 경쟁사인 앤스로픽이 보안 도구인 '미토스(Mythos)'의 접근을 제한한 것을 두고 '공포 마케팅'이라며 비판했지만, 자사의 경쟁 도구인 '사이버(Cyber)' 역시 승인된 보안 전문가에게만 제공하기로 했습니다. 악의적인 악용을 우려해 접근을 통제하는 조치지만, 알트만의 이중적인 태도에 비판이 제기되는 맥락입니다.
오픈AI가 챗GPT 사용자를 위한 새로운 '고급 계정 보안(Advanced Account Security)' 프로그램을 출시하며, 피싱 공격을 방어하기 위해 하드웨어 보안키 기업 유비코(Yubico)와 파트너십을 체결했습니다. 두 회사는 전용 보안 키 2종을 공동 브랜딩으로 출시했으며, 정치인, 언론인, 기업 사용자 등 고위험군 사용자의 계정을 강력하게 보호할 수 있습니다. 다만 물리적 보안 키 분실 시 계정 접근 및 대화 복구가 불가능하다는 점은 사용자가 감수해야 할 트레이드오프입니다.
백악관이 소프트웨어 취약점을 탐지하고 악용할 수 있는 앤스로픽의 AI 모델 '미토스(Mythos)'의 추가 기업 70여 곳에 대한 접근 확대를 거부했습니다. 정부는 앤스로픽의 컴퓨팅 파워가 경쟁사보다 부족한 상황에서 사용자가 늘어나면 정부의 모델 접근성이 떨어질 것을 우려하고 있습니다. 이는 최근 국방부가 앤스로픽을 공급망 위험으로 분류한 가운데, 미국 행정부의 첨단 AI 기술 도입 및 통제 전략을 보여주는 중요한 사안입니다.
에어드롭(AirDrop)을 대체할 수 있는 무료 오픈소스 크로스 플랫폼 앱인 '로컬센드(LocalSend)'가 화제입니다. 이 앱은 외부 서버나 인터넷 연결 없이 로컬 네트워크를 통해 기기 간 파일과 메시지를 안전하게 공유할 수 있도록 지원합니다. 개발자와 실무자들은 REST API와 HTTPS 암호화를 활용하여 높은 보안성과 안정성을 확보한 이 솔루션에 주목하고 있습니다.