최근 앤트로픽의 고위험 AI 모델인 '클로드 미토스(Claude Mythos)' 논란과 함께, 생성형 AI가 해커의 손에 들어갔을 때의 위협이 임계점을 넘어서고 있습니다. 이제 사이버 공격은 분 단위로 자동화되는 반면, 기업의 방어 체계와 패치 속도는 이를 따라가지 못해 보안 공백이 커지는 실정입니다.
버라이즌의 ‘데이터 유출 조사 보고서(DBIR) 2026’에 따르면, 지난해 발생한 사이버 공격 중 취약점 악용 공격(31%)이 사상 처음으로 1위를 기록했습니다. 그동안 공격자들의 주된 경로였던 ‘탈취된 계정 정보’를 앞지른 결과입니다.
공격자들은 '미토스'와 같은 고급 AI 모델을 활용해 취약점 공개 후 평균 24~48시간 이내에 무차별적으로 익스플로잇(공격 코드)을 생성해 침투하고 있습니다. 심지어 AI가 스스로 가설을 수정해가며 익스플로잇 작동 가능성을 검증하는 '반복 추론 루프'까지 수행하는 것으로 밝혀졌습니다. 반면 기업의 평균 패치 소요 시간은 43일로 오히려 전년보다 늘어나, 공격자와 방어자 간의 속도 격차가 심각한 수준입니다.
전문가들은 이제 개별 시스템 방어를 넘어 '제로 트러스트(Zero Trust)' 아키텍처 도입과 망분리 규제 완화를 통해 실시간으로 위협 정보를 동기화하고 패치를 자동화하는 거버넌스 체계로 전환해야 한다고 경고합니다.
임직원들이 보안 부서의 승인 없이 임의로 상용 AI나 내부 솔루션에 내장된 AI 기능을 사용하는 ‘섀도우 AI(Shadow AI)’ 비율이 15%에서 45%로 3배나 폭증했습니다. 이는 고스란히 기업의 데이터 유출 경로(보안홀)가 되고 있으며, 무분별한 토큰 사용으로 인한 비용 폭탄 문제도 야기하고 있습니다.
이에 개인정보보호위원회는 생성형 AI 서비스 이용자를 위한 가이드를 발간하고, 이용자 리터러시(문해력) 강화에 나섰습니다. 가이드에 따르면 AI 서비스 내에서 대화를 삭제하더라도 백업 시스템 등에 일정 기간 보관되거나 이미 모델 학습에 활용되었을 가능성이 있으므로, 중요 정보는 처음부터 입력을 최소화해야 합니다. 가트너 등 주요 기관은 보안담당자들에게 AI를 전면 금지하기보다는, 보안 엔터프라이즈 브라우저(SEB) 확장 프로그램 등을 도입하고 투명한 AI 사용 지침을 수립할 것을 권고하고 있습니다.
글로벌 AI 보안 위협에 대응하기 위해 우리나라는 최근 앤트로픽의 '글래스윙', 오픈AI의 '데이브레이크' 프로젝트에 합류하며 글로벌 협력체계를 구축했습니다. 국가 안보와 직결된 사이버 보안을 외산 기술에만 의존할 수 없다는 위기감 속에서 국내 보안 기업들의 해외 진출과 연대도 활발해지고 있습니다.
안랩은 해외 매출 비중을 10%에 근접하게 끌어올렸으며, AI스페라, 쿼드마이너, 지니언스 등도 일본 및 글로벌 시장에서 유의미한 레퍼런스를 확보하고 있습니다. 현재 한국정보보호산업협회(KISIA) 주도로 국내 기업 간 협업 체계인 'K-글래스윙(가칭)' 출범이 준비 중이며, 소버린 AI 체계와 맞물려 정부와 산업계의 투자가 집중될 전망입니다.
비밀번호와 기존 다중요소인증(MFA)의 허점을 보완할 강력한 피싱 저항 인증 수단으로 '패스키(Passkey)' 도입이 급물살을 타고 있습니다. '어센티케이트 APAC 2026' 콘퍼런스에서 RSA시큐리티 측은 사내 패스키 도입의 성패가 기술 구현 자체보다는 임직원들의 저항을 최소화하는 단계적 안착 과정 설계에 있다고 강조했습니다.
자산의 중요도에 따라 편의성이 높은 '동기화형 패스키'와 보안성이 높은 '기기 바인딩 패스키'를 적절히 조합해야 하며, 초기 온보딩(입사) 및 계정 복구 절차 역시 매끄럽게 설계되어야 합니다. 또한, 경영진을 설득할 때는 단순 보안 강화를 넘어 '로그인 시간 단축', 'IT 헬프데스크 티켓 감소' 등 구체적인 ROI 지표를 제시하는 것이 효과적입니다.
국내 대형 OTT 플랫폼인 티빙(TVING)에서 비인가 접근으로 인해 회원 ID, 이름, 생년월일, 연락처 등이 유출되는 사고가 발생했습니다. 최근 쿠팡, 듀오에 이어 이커머스, 결혼정보, 상조 등 국민 생활과 밀착된 플랫폼에서의 개인정보 유출이 반복되면서 사회적 재난 수준이라는 비판이 고조되고 있습니다. 보안담당자 관점에서는 협력사 및 내부 플랫폼의 접근 통제 정책과 비인가 접근 모니터링 체계를 다시 한번 촘촘하게 점검해야 할 시점입니다.
AI가 위협 요인이기도 하지만, 역으로 방어자의 역량을 극대화하는 도구가 될 수 있습니다. 가트너가 제시한 AI 보안 활용 분야를 참고하여 사내 SOC 및 개발 프로세스에 적용을 검토해 보시기 바랍니다.
※ 보안뉴스, 데일리시큐, 전자신문, 기타 IT전문언론을 우선순위로 하여 추출됩니다.
※ 가장 상단에 있는 뉴스는 생성형 AI를 이용해 요약한 기사입니다.
지난 두 달간 이어진 앤트로픽의 인공지능(AI) 모델 '클로드 미토스' 관련 논란은 AI 시대 사이버보안 위협이 더 이상 먼 미래의 이야기가 아님을 강하게 환기시켰다. 국내에서도 AI 보안 위협에 대응하기 위한 정부와...
출처: 전자신문
포티넷의 '2026 사이버 보안 기술 격차 보고서'에 따르면 취약점 공개 후 최초 공격까지 걸리는 시간이 평균... 식별했으며, 보안 전문기관이 이 중 1900건을 검사한 결과 91%가 유효한 취약점이라고 확인했다....
출처: 데이터넷
이용자가 서비스에 패스키를 등록하면 개인키는 스마트폰이나 PC, 보안키 등 사용자가 가진 기기에... 반면 기기 바인딩 패스키는 보안키나 특정 단말에 인증 정보를 더 강하게 묶는 방식으로, 민감 자산이나 관리자...
출처: IT조선
개인정보보호위원회(개인정보위)는 과징금 등 제재 실효성 강화를 위한 '개인정보 보호법 시행령' 개정안을 마련, 6월 1일부터 7월 13일까지 입법예고한다고 밝혔다. 반복적이거나 중대한 개인정보 침해행위에 대해 전체...
출처: 데일리메디
생성형 인공지능(AI)이 기업 업무와 공공서비스 전반으로 빠르게 확산되면서 보안 점검의 무게중심도... 이에 AI 서비스를 실제 공격자 관점에서 미리 시험하는 'AI 보안 레드팀' 필요성이 커지고 있다. 서비스 출시 뒤...
출처: 뉴스1
올해 들어서만 이커머스·결혼정보·상조·공공서비스 등 생활 밀착형 서비스의 보안 사고가 잇따르고 있다.문제는 개인정보 유출이 더 이상 예외적 사건이 아니라는 점이다. 잊을 만하면 한 번씩 대형 사고가 반복된다....
출처: 충청투데이
이용자 화면에서 삭제되더라도 보안 대응, 오류 점검, 법적 의무 이행 등을 위해 일정 기간 서버 또는 백업 시스템에 보관될 수 있으며, 삭제 이전에 모델 개선·품질 향상 목적으로 활용되었을 가능성도 있다. 이에 따라...
출처: 메디컬월드뉴스
미국 앤트로픽의 고위험 인공지능(AI) 모델 '미토스' 등장으로 국내 AI와 보안 업계 긴장감이 커지고 있다.... 앞서 보안 체계의 AI 전환이 시급하다고 본다. 공격은 AI가 하고 있지만 방어는 아직도 사람이 하는 곳이...
출처: 머니투데이방송
4일 제주 메종글래드호텔에서 한국정보보호학회 CPS보안연구회 주최 '제18회 CPS 보안 워크숍'이 진행되고 있다./사진=이인애 기자생성형 AI 확산으로 사이버 공격이 고도화되는 가운데, 발전소·공장·수처리시설 등...
출처: 머니투데이방송
물론 이 모든 변화의 전제는 보안과 신뢰다. 정보보안과 클라우드 개인정보보호 분야에서 오래 일해 온 경험에 비추어 볼 때, 전분야 마이데이터는 데이터를 무작정 긁어모으는 사업이 아니라 '데이터를 안전하게 움직이게...
출처: 전자신문
이 때문에 최근 보안(Security), 법률(Legal), 홍보(PR) 업계에서는 ‘디지털 평판 관리(Digital Reputation Management)’를 새로운 산업군으로 바라보는 움직임이 나타나고 있다. 과거...
출처: 벤처스퀘어
기업들은 개인정보와 각종 규제, 제한적인 실증 환경 등을 이유로 데이터 확보에 어려움을 호소한다. 로봇이 실제 생활 공간에서 충분히 학습하고 검증받을 수 있는 환경 역시 주요 경쟁국과 비교하면 부족하다는 지적이...
출처: 메트로신문
비용과 보안이 두 축이다. 에이전트가 24시간 구동되며 토큰을 끊임없이 소비하면 클라우드 비용 부담은 기하급수적으로 커진다. 동시에 개인 파일과 업무 이력을 처리하는 에이전트가 외부 서버를 오갈 때...
출처: 포인트데일리
| [정보보안 뉴스레터] 06월 04일 : AI 발 보안 위협의 서막, 거버넌스와 인적 방화벽으로 대응하라 (1) | 2026.06.04 |
|---|---|
| [정보보안 뉴스레터] 06월 01일 : AI 해킹의 현실화와 기업 보안 거버넌스의 대전환 (1) | 2026.06.02 |
| [정보보안 뉴스레터] 05월 30일 ~ 31일 : AI 해킹의 산업화와 제로 트러스트 보안 거버넌스 (0) | 2026.06.01 |
| [정보보안 뉴스레터] 05월 29일 : AI 해킹의 시대, 실전 침해대응과 보안 거버넌스 확립 (0) | 2026.05.31 |
| [정보보안 뉴스레터] 05월 23일 ~ 25 : AI 에이전트 도입과 공급망 보안, 기업 보안담당자가 주목해야 할 핵심 이슈 (1) | 2026.05.26 |