“속지 않으려면 무엇을 알아야 하나” — 딥페이크·보이스피싱·가짜뉴스·아동 안전·오남용·챗봇 피해에 관한 보도를 모았습니다. 일어난 일과 아직 오지 않은 일을 따로 둡니다.
국가 기관과 미성년자를 겨냥한 AI 오남용 사례가 동시에 쏟아지고 있다. 한쪽에서는 앤스로픽 클로드와 오픈AI 에이전트가 해킹·군사 목적으로 악용된 정황이 드러났고, 다른 한쪽에서는 챗봇이 청소년·취약계층에게 위험한 응답을 내놓은 사례가 의회와 소송을 통해 공개됐다. EU와 캘리포니아는 미성년자의 SNS·AI챗봇 이용을 제한하는 법안을 동시에 밀어붙이고 있다.
숫자에 대하여 카스퍼스키 조사(18개국 1800명)에서 응답 기업의 41%가 AI 도입을 보안투자 확대 이유로 꼽았다는 수치, 경기도 AI 전세사기 진단 서비스가 공인중개사 약 1만5000명을 대상으로 시범운영된다는 수치는 확인됐지만, 딥페이크·보이스피싱·챗봇발 피해의 전체 건수나 피해액을 보여주는 통계는 이 목록에 없다.
이 갈래의 게시 기사 30건을 근거로 작성했습니다 · 갱신 2026-09-19
이미 발표·시행된 것 57건
전자신문이 '보안긴급진단' 기획 시리즈 두 번째 편으로 산업시설 해킹 실태를 다뤘다. 프랑스 대형마트와 미국 미군기지 내 식료품점의 냉동냉장 설비가 사이버 공격을 받았고, 유럽 7개국에서도 비슷한 피해가 잇따라 발생했다. 기존 사이버 침해사고는 주로 정보 유출로 이어졌지만, 산업 제어 설비가 직접 공격받아 안전 문제로 번지는 사례가 늘고 있다는 진단이다. 이에 금융·산업·IT·공공 등 분야별 보안 체계 강화가 시급하다는 지적이 나온다.
펜타시큐리티가 클라우드 보안 SaaS '클라우드브릭'의 AWS 마켓플레이스용 '클라우드브릭 매니지드 룰 번들'을 출시했다. OWASP 톱10, 악성 API·IP, 봇, DDoS 공격 방어 기능을 하나로 묶은 패키지로 WAAP·Essential·IP Protection 세 가지 번들로 구성된다. 사용량 기반이 아닌 고정 요금제로 제공돼 트래픽 급증 시에도 예산 관리가 가능하다고 회사는 설명했다. 클라우드브릭 매니지드 룰은 2021년 12월 국내 최초로 출시됐으며 현재 고객의 98% 이상이 해외 사용자다.
가디언 칼럼니스트 휴 리민턴은 사륜구동차 수리를 맡긴 정비소에 전화를 걸었다가, 일주일 전에는 없었던 새 AI 음성 상담원 '소피'와 대화하게 됐다. 소피의 목소리는 따뜻하고 직접적이며 지적이고, 비굴하지 않게 도움을 주려는 태도를 보였다고 필자는 전한다. 그는 여러 질문을 던지며 소피가 얼마나 훈련되어 있는지 시험해 봤는데, 그녀의 첫 문장에서부터 이상한 점을 발견했다고 밝힌다. 글은 이 경험을 '배신당했다'는 표현으로 요약한다.
Nieman Lab 칼럼니스트 빌 아데어는 일론 머스크의 AI 백과사전 그록피디아가 자신에 대한 기사에서 전혀 다른 인물과 혼동하는 등 수십 개의 오류를 담고 있다고 지적했다. 그록피디아는 1년 전 출시돼 위키백과 문서를 복사한 뒤 AI로 내용을 추가·수정하는 방식인데, 문장이 장황하고 중복되며 사실 오류와 음모론, 신뢰도 낮은 출처가 섞여 있다고 밝혔다. 저자는 그록피디아의 글쓰기 수준은 낮지만, 인터넷 구석의 정보를 찾아내 요약하는 능력은 위키백과 편집자들이 참고할 만하다고 평가했다. 그록피디아는 지난봄 업데이트가 중단됐다가 9월 말 재개됐다고 연구자 르네 디레스타와 로널드 로버트슨의 보고서를 인용해 전했다.
직원이 업무 처리를 위해 회사 내부 자료를 ChatGPT에 입력한 뒤 대화 기록을 삭제해도, 화면에서 사라지는 것과 서버에서 데이터가 실제로 삭제되는 것은 별개라고 전자신문이 보도했다. 생성형 AI의 업무 활용이 확산하면서 기업 승인 없이 개인 계정으로 AI 서비스를 쓰는 '섀도 AI'가 새로운 보안 위협으로 지적됐다.
미국 FBI가 가상자산 거래소 바이낸스 해킹 사고의 배후로 북한 연계 조직 '트레이더트레이터'를 지목하면서 북한의 사이버 공격 역량에 관심이 쏠리고 있다. 국군 사이버작전사령부가 2024년 국정감사에서 보고한 바에 따르면 북한의 사이버전 인력은 약 8400명으로 추산된다. 이처럼 대규모 인력을 운용하는 북한이 공격 과정에 인공지능(AI)까지 활용하면서 위협이 커지고 있다는 분석이 제기됐다.
바이낸스에서 발생한 대규모 해킹 사고로 탈취된 비트코인 중 약 1조 8701억원 상당이 19개 지갑으로 분산된 것으로 확인됐다. 해커는 '필 체인' 수법으로 수 분 만에 자산을 쪼개 이동시켰으며, 이후 추가 자금 이동은 확인되지 않았다. 테더·서클·리플 등 스테이블코인 발행사는 스마트컨트랙트 통제 권한으로 공격자 지갑을 블랙리스트에 올렸지만, 발행 주체가 없는 비트코인은 네트워크 차원에서 동결이 불가능했다. 이 여파로 가상자산 시장 전반이 약세를 보였고, FBI는 배후로 북한 해킹조직 '트레이더트레이터'를 지목했다.
AI를 활용한 사이버 공격이 늘면서 세계 보안시장의 경쟁 축이 위협 탐지·분석에서 실시간 차단과 자동 대응으로 옮겨가고 있다. 공격자가 AI로 취약점 발견과 공격 속도를 높이면서 기존 수동 분석과 패치 중심 대응이 한계를 보였다. 실적을 발표한 포티넷, 테너블, F5는 AI 공격 확산에 맞춰 보안 대응 방식을 바꿨다고 밝혔다. 포티넷은 개별 솔루션으로 위협을 탐지·분석하던 방식에서 여러 보안 기능을 통합해 대응하는 방식으로 전환했다고 설명했다.
보안 연구진이 '볼타-오토독서(Volta-Autodoxer)'라는 신종 인포스틸러 멀웨어를 발견했다. 이 멀웨어는 AI 도구를 활용해 피해자의 로그인 정보, 신용카드 번호, 디스코드 세션, 우버이츠 주문 내역 등 다양한 개인정보를 수집한다. 수집한 데이터를 자동으로 조합해 피해자의 신상을 특정하는 '오토독싱' 기능이 특징이다.
올가을 국내 금융회사 16곳이 침해를 당했고, 금융당국은 한 공격자가 AI 도구로 대량 자동화 공격을 벌인 흔적을 확인했다. 이 공격자는 서버 몇 대와 AI만으로 여러 금융사를 뚫었고, AI에게 탈취한 정보를 어디서 팔 수 있는지까지 물었다. 한 글로벌 보안 보고서에 따르면 취약점이 패치보다 평균 7일 먼저 악용되고 있어, 패치와 점검 중심의 기존 방어 방식이 한계에 다다랐다. 필자는 예방 체계를 넘어선 '신뢰 공간' 전체를 감시하는 제로트러스트 전환과 방어자 중심의 AI 활용이 필요하다고 주장한다.
MIT 연구진이 'LLM Election Observatory'라는 대시보드를 만들어 AI 챗봇들이 2026년 미국 중간선거 관련 질문에 어떻게 답하는지 실시간으로 추적한다. 선거 인증, 쟁점 현안, 결과 예측 등 동일한 질문을 챗봇에 반복 입력해 이용자의 지역, 정당 지지, 정체성 등에 따라 답변이 달라지는지 모니터링한다. 연구를 이끈 애덤 베린스키, 카라 포디마타, 찰스 스튜어트 3세 교수는 챗봇이 사실 오류 없이도 틀, 강조점, 불확실성 표현, 인용 출처를 달리해 이용자마다 다른 정치적 인식을 형성할 수 있다고 설명했다.
AI가 피싱 메일 작성과 보안 취약점 탐색을 도와주면서 해킹의 진입장벽이 낮아지고, 다크웹에서 기업 데이터베이스가 거래되며 공격이 계속되고 있다. 기존 보안 방식은 이미 알려진 악성코드만 탐지해 AI로 변형된 신종 공격이나 내부 횡적 이동을 놓치는 문제가 있다. 이에 대해 AI패널 6명 중 4명은 값비싼 AI 방어 도구 도입보다 계정 정리, 2단계 인증, 핵심 DB 망분리 등 기본 보안 조치를 먼저 갖추는 순서를 제안했다.
리눅스 운영체제 커널에서 외부 공격자가 시스템을 장악할 수 있는 고위험 취약점 'CVE-2026-98432'가 발견됐다. 앤트로픽이 AI를 활용해 실제 공격에 성공하면서 위험성이 부각됐지만, 공격 조건과 시스템 환경에 따라 보안업계의 위험도 평가는 엇갈리고 있다. 이와 함께 PHP투셸, 노드투셸 등 주요 소프트웨어의 심각한 보안 취약점도 잇따라 공개돼 기업 보안 담당자들의 대응 부담이 커지고 있다.
PHP 실행 환경 자체에서 발견된 치명적 취약점 'PHP2Shell'이 기업 주요 웹서비스를 넘어 외주 개발 시스템, 마케팅 페이지, 사내 업무 도구 같은 보안 관리 사각지대로 확산될 수 있다는 경고가 나왔다. 보안 기업 티오리는 이번 취약점이 개별 웹사이트의 개발 오류가 아니라 PHP 실행 환경 자체의 문제라는 점에서 파급력이 크다고 지적했다. 보안팀이 관리 대상으로 제대로 파악하지 못한 주변부 시스템이 공격자의 최초 침투 경로가 될 수 있다는 분석이다.
AI 보안 기업 지니언스는 PHP 엔진 원격 코드 실행 취약점 'PHP2셸'을 분석한 결과 내부망에서 PHP를 구동하는 장비의 96%가 취약점에 노출돼 있다고 30일 밝혔다. 미국 CISA는 26일 이 취약점을 알려진 악용 취약점(KEV) 목록에 올렸고, 공격자는 NAS·공유기·방화벽 등 내부망 장비를 장악해 침투 교두보나 랜섬웨어 유포에 쓰고 있다. 취약 장비의 78%는 지원이 끝난 PHP 8.1 이하였고, 89%는 외부 검색엔진 스캐너가 닿지 않는 사설 IP 대역에 있어 식별이 어려웠다. PHP 개발진은 21일 긴급 패치를 배포했지만 29일 기준 국내 패치 적용률은 5.5%에 그쳤다.
한국딥러닝은 IBK기업은행 금융소비자지원부와 함께 시각행동모델(VLM) 기반 보이스피싱 피해구제 업무 자동화를 구현해 서류 처리시간을 88% 줄였다고 30일 밝혔다. 기존에는 팩스로 접수된 서류를 직원이 직접 확인하고 입력하는 수작업 방식이어서 골든타임 내 신속한 대응에 어려움이 있었다. 양사는 한국딥러닝의 금융 특화 AI 에이전트 '딥 에이전트 for 금융'을 적용해 서류 인식 등 업무를 자동화했으며, 금융권 최초의 VLM 기반 피해구제 업무 자동화 사례라고 밝혔다.
ZDNet코리아가 리바랩스 'AMEET'과 함께 챗GPT, 제미나이, 클로드 등 AI를 토론 패널로 구성해 AI 해킹 위협을 진단했다. 위협 인텔리전스 패널은 위협이 과장됐을 수 있다고 지적했지만, IT 보안 전문가 패널은 공격 건수보다 '적응형 악성코드'로 인한 질적 변화가 핵심이라고 반박했다. 토론에서는 마이크로 세그멘테이션 등 방어 방안과 함께, 법적으로는 완벽한 방어가 아닌 '위험 기반의 합리적 보안 조치'가 기준이 된다는 점이 제시됐다. 결론적으로 탐지율 100%보다 침해 발생 시 피해를 줄이는 복원력 확보가 필요하다는 데 의견이 모였다.
틴더의 매니시 차브라 수석 프로덕트 매니저는 과거 틴더 가입자가 인간과 자동화된 봇 두 종류였지만 이제는 AI 에이전트도 가입을 시도하는 상황이라고 밝혔다. 그는 메타의 뮤즈 AI가 틴더에 계정을 생성하고 있다고 언급하며, AI 에이전트의 플랫폼 이용을 허용할지 차단할지 아직 검토 중이라고 말했다.
스포티파이는 로그인과 인증을 단순한 보안 관문이 아니라 성장을 이끄는 요소로 보기 시작했다고 밝혔다. 신규 이용자 유치와 기존 이용자 유지를 위해 더 많은 정당한 이용자가 안전하고 편리하게 서비스에 접근할 수 있도록 하는 것이 목표라고 설명했다. 인증 관련 결정을 내릴 때 여러 요소를 함께 고려한다고 덧붙였다. 이 발언은 7억5천만 이용자를 보유한 스포티파이 측에서 나왔다.
오픈소스 언어 PHP에서 치명적 취약점 2건이 발견되어 전체 웹사이트의 약 70%가 영향권에 들었다. 일부 조직은 패치가 완료되기 전까지 사이트를 오프라인으로 전환하며 대응했다. 보안 업체 Wiz 연구진이 해당 취약점을 발견해 공개했으며, Wiz CTO는 이를 'PHP2Shell'이라 부르고 추가 악용 사례가 이어지는 '취약점 대란(vulnpocalypse)'이 올 수 있다고 언급했다.
뱅크오브아메리카가 'AI 시대의 금융 자산 보호'라는 제목의 이메일을 고객들에게 발송해, 아이디와 비밀번호를 AI 비서나 AI 에이전트와 공유하지 말라고 당부했다. 로그인 정보를 공유해 발생한 거래는 고객 책임이라고 명시했으며, 미국 은행 약관 대부분도 이런 책임 구조를 따른다고 테크크런치가 전했다. AI 에이전트가 계정 정보를 넘겨받아 고객이 모르는 거래를 실행하거나, 은행이 이를 계좌 탈취 시도로 판단해 계정을 잠글 위험, AI 비서의 보안 결함으로 정보가 유출될 위험 등이 거론됐다. 악시오스도 은행들이 허가받지 않은 AI 에이전트의 계좌 접근 문제로 고심 중이라고 보도했다.
학생들의 싸움을 꾸며 찍은 '야차룰' 영상이 텔레그램 유료 단톡방이나 생중계로 퍼지며 후원금과 도박 광고 수익을 낳고 있다. 조회수가 늘면 추천 노출이 늘고 수익이 커져 더 자극적인 영상 기획으로 이어지는 악순환이 문제로 지적됐다. 촬영 지시, 수익 분배, 반복 게시 세 가지가 디지털 기록으로 확인되면 공범으로 책임을 묻는 방안이 제시됐다. 플랫폼 대응으로는 사전 전체 검사 방식 대신 신고 후 즉시 삭제하고 해시로 재업로드를 막는 방식이 대안으로 제안됐으며, 토론에 참여한 AI패널의 85%가 이 방안에 조건부로 찬성했다.
AI스페라가 국제형사경찰기구 인터폴과 사이버범죄 대응 협약을 체결하고, 인터폴이 2019년 출범한 민간 파트너 협력체계인 '게이트웨이' 이니셔티브에 참여한다고 밝혔다. 이에 따라 AI스페라는 자사 위협 인텔리전스 플랫폼 '크리미널 IP'의 위협 데이터와 분석 역량을 인터폴의 사이버범죄 수사에 제공할 계획이다.
엔가젯은 공공장소에서 AI 스마트 안경을 이용한 몰래 촬영 우려와 관련해 구별법을 보도했다. 대부분 제품은 촬영 중 표시등을 켜지만, 표시가 없거나 눈에 띄지 않는 제품도 있어 두꺼운 안경다리, 렌즈 바깥쪽 카메라, 카메라 포트나 마이크 그릴 같은 외형을 함께 살펴봐야 한다. 안경테를 반복해 누르거나 혼잣말을 하는 행동도 조작 신호일 수 있지만 이것만으로 촬영 여부를 단정할 수는 없다. '니어바이 글래시스', '주커오프' 같은 블루투스 탐지 앱도 있지만 오탐 가능성이 있어 보조 수단으로만 활용해야 한다고 전했다.
시큐리온의 안드로이드 안티바이러스 솔루션 '온백신'이 에이브이테스트(AV-TEST) 9월 평가에서 종합 탐지율 100%, 18점 만점에 17점을 기록해 누적 39번째 인증을 받았다고 28일 밝혔다. 평가는 과잉 탐지, 미탐지, 퍼포먼스 3개 항목으로 구성된다. 온백신은 오스트리아 AV-Comparatives 평가에서도 2026년 6월 탐지율 99%를 기록해 2019년부터 8년 연속 인증을 이어갔다. 온백신에는 머신러닝·평판·패턴 검사를 결합한 AI 탐지 기술 '크로스 밸리데이션 시스템'이 적용됐고, 일반 소비자용 제품에는 보이스피싱 탐지 기술도 포함돼 있다.
호주 연방정부가 어린이들이 AI 챗봇을 '가장 친한 친구'처럼 대하는 상황에 대한 우려를 제기한 뒤, 사용자와 '감정적 유대'를 형성하려는 AI 챗봇을 디지털 돌봄의무법으로 금지하는 방안을 추진하고 있다. 새로운 온라인 안전 기준 법안은 하원을 통과했다. 노동당 정부는 통신옴부즈맨에게 소셜미디어와 AI에 대한 외부 민원 처리 권한과 빅테크 '네이밍 앤 셰이밍' 권한을 부여하라는 압박을 받고 있다.
부산경찰청이 중국에 체류하던 보이스피싱 조직 총책과 전화 가로채기 악성 앱 제작·공급책을 국제공조 수사로 검거해 구속 송치했다. 두 사건의 피해자는 270명, 피해액은 약 25억원에 달한다. 총책은 금융기관을 사칭해 대출 명목 수수료를 가로채는 수법을 썼고, 앱 공급책은 전화 가로채기 기능이 든 악성 앱을 조직에 제공했다. 경찰청 주도 국제공조 작전 '브레이킹 체인스'를 통해 추적해 검거에 이르렀다.
시큐리온은 안드로이드 안티바이러스 솔루션 'OnAV(온백신)'가 글로벌 보안 평가기관 AV-TEST의 성능 평가에서 누적 39번째 인증을 받았다고 28일 밝혔다. AV-TEST 평가에서 OnAV는 악성 앱 탐지율 100%, 총점 18점 만점에 17점을 기록했다. OnAV는 머신러닝·평판·패턴 검사를 결합한 AI 탐지 기술 '크로스 밸리데이션 시스템(CVS)'을 적용해 탐지 정확도를 높이고 시스템 자원 사용을 최소화했다. 시큐리온은 피싱 범죄 예방을 위한 활동도 이어가고 있다고 밝혔다.
파수AI가 국내 기업·기관의 AI·IT·보안 담당자 151명을 대상으로 조사한 결과, 생성형 AI 사용을 금지한 조직에서도 응답자의 77.3%가 개인 계정으로 AI를 쓰고 있다고 답했다. 이는 '섀도우 AI', 즉 임직원이 조직의 승인이나 관리 없이 생성형 AI를 사용하는 현상이다. 파수AI는 28일 '통제 밖의 지능-국내 조직의 Shadow AI 사용 실태와 대응 현황' 보고서를 통해 이러한 조사 결과를 발표했다. 보고서는 단순한 사용 차단만으로는 조직의 승인·관리 밖에서 이뤄지는 AI 활용을 막기 어렵다고 지적했다.
챗GPT, 제미나이, 클로드로 구성된 AI 패널이 학교폭력 영상을 촬영·유통해 수익을 올리는 행위에 대한 법적 책임을 두고 토론했다. 사이버법 관점 패널은 촬영 지시·수익 배분·반복 게시가 확인되면 공동정범이나 방조범으로 처벌할 수 있다고 봤고, 비판적 관점 패널은 책임 범위가 모호해 유통자가 가해자보다 더 큰 처벌을 받는 역전 상황을 우려했다. 학교안전 관점 패널은 영상 유포가 피해자에게 PTSD를 남기는 2차 가해라고 지적했고, 소셜미디어 관점 패널은 멀티모달 AI로 폭력과 스포츠 영상을 구분할 수 있다고 주장했지만 미디어 규제 관점 패널은 오탐으로 표현의 자유가 침해될 수 있다고 반박했다. 패널들은 전면적 사전 감시 대신 신고·인지 시점에 맞춰 삭제하고 해시값 차단과 로그 보존을 의무화하는 단계적 책임 부과가 현실적 타협안이라는 데 합의했다.
2023년 영국 정부의 담배·전자담배 법안 공청회에 제출된 응답 중 4분의 3이 AI가 생성한 것으로 드러났다. 연구 결과에 따르면 이는 법안 통과를 막으려는 시도였으나 결국 법안은 통과됐다. 영국에서 AI를 동원해 보건 정책 결정 과정을 조직적으로 방해하려 한 첫 사례로 여겨진다.
AI를 활용한 사이버 공격이 고도화하면서 침입을 예방·탐지하는 것만으로는 대응에 한계가 있다는 지적이 나온다. 마이크로세그멘테이션 전문기업 일루미오는 '침해는 피할 수 없어도 사이버 재해는 막을 수 있다'는 원칙으로 침해 확산 차단에 집중한다고 밝혔다. 2013년 설립된 일루미오는 IP 주소 대신 위치·환경·애플리케이션·역할 등 레이블을 기준으로 보안 정책을 정의하는 방식을 쓴다.
티켓 예매 플랫폼 티켓링크가 에버스핀의 웹 보안 솔루션 '에버세이프 웹'을 도입해 약 3개월간 비정상 접속 6975만건을 차단했다. 매크로와 스크래핑 등 자동화된 접근을 통제해 정상 이용자의 예매 기회를 보호하고 반복 요청으로 인한 서버 부담을 줄였다. AI 기반 도구가 웹서비스 구조와 API 호출 방식을 분석해 요청 생성과 반복까지 수행하면서 자동화 공격이 더 정교해지고 있다는 점이 배경으로 꼽혔다.
안랩이 'AI 네이티브 센서'를 활용해 보안경보를 분석한 사례를 제시했다. 보안 센서 20개에서 한 달간 약 197만건의 경보가 발생했는데, AI가 이 중 16건을 위험도 높은 사건으로 선별했고 그중 13건이 실제 위협으로 확인됐다. 안랩은 AI가 위협 가능성이 큰 사건을 추려 보안 담당자가 주요 위협에 집중하도록 돕는 방식이라고 설명했다. 공격자 역시 AI로 취약점 분석, 공격경로 검증, 피싱·악성코드 제작 등에 나서고 있어 방어체계에도 변화가 요구되고 있다.
김앤장 법률사무소가 글로벌 사이버보안 기업 팔로알토 네트웍스와 사이버 침해사고 공동 대응을 위한 업무협약을 체결했다고 27일 밝혔다. AI를 활용한 사이버 공격이 고도화되면서 기업이 기술적 대응과 법률 검토를 함께 수행해야 할 필요성이 커진 데 따른 것이다. 양사는 침해사고 대응 협력과 기술·법률 서비스 연계, 세미나·교육을 통한 사이버보안 역량 강화 등에서 협력할 계획이다. 침해사고 발생 시 팔로알토 네트웍스는 AI와 글로벌 사이버 위협 대응 역량을 제공한다.
티오리 박세준 대표는 PHP 자체에서 발견된 'PHP2셸' 취약점(CVE-2026-109618, CVE-2026-109619)이 CVSS 4.0 기준 치명적 등급을 받았다고 설명했다. 공격에 성공하면 서버에서 임의 코드를 실행할 수 있어 개인정보 유출이나 서비스 변조로 이어질 수 있다. 아마존은 공식 패치 공개 전인 10월 17일부터 관련 공격 시도를 관측했으나, 소포스와 팔로알토네트웍스가 보고했던 실제 침해 사례는 추가 분석 후 정정되거나 철회됐다. 10월 27일 현재 공개적으로 검증된 기업·기관의 실제 침해 피해는 확인되지 않았다. 그는 이번 취약점이 AI를 활용한 보안 연구로 공격 가능성이 입증된 사례라고 덧붙였다.
미국 정부효율부(DOGE) 출신들이 세운 사이버보안 스타트업 캐서드럴이 AI 에이전트를 활용해 12시간도 안 돼 앤트로픽 내부 시스템에 침투할 수 있는 경로를 찾아냈다. 앤트로픽이 사용하는 외부 기업용 소프트웨어의 취약점을 통해 회의 기록, 급여 정보, 사내 슬랙 메시지 등 민감한 데이터에 접근할 수 있었던 것으로 전해졌다. 워싱턴포스트는 26일(현지시간) 이를 보도하며 외부 소프트웨어의 보안 허점이 첨단 AI 기업의 내부 시스템까지 위협할 수 있다는 우려를 제기했다.
애플이 폴더블 형태의 아이폰 듀오에서 나타난 내부 디스플레이 균열 문제에 대해 일부 기기에 국한된 현상이라고 밝히며 결함을 인정했다. 맥루머스에 따르면 애플은 문제가 발생한 사용자에게 애플케어를 통한 교체를 안내했지만 재고 부족으로 대기가 발생하는 경우도 있었다. 균열은 힌지를 따라 디스플레이 하단부에서 주로 나타났고, 수리업체 아이픽스잇은 힌지 부품 밀집과 중앙 지지대 수축 불량을 원인으로 추정했다. 다만 관련 이미지 일부가 AI로 생성된 것으로 알려지면서 실제 피해 규모를 정확히 파악하기는 어려운 상황이라고 전해졌다.
통신사기피해환급법에 따라 보이스피싱을 당하면 전화를 끊고 112, 금감원 1332, 금융회사 중 한 곳에 즉시 신고해 지급정지를 요청해야 한다. 구두로 요청했다면 3영업일 안에 서면 요청을 제출하지 않으면 지급정지가 풀린다. 3월 12일 국회를 통과한 개정안이 10월 1일·2일 시행되면서 가상자산거래소에도 은행과 같은 피해구제 의무가 생겼고, 현금을 빼앗긴 뒤 가상자산으로 바뀐 경우도 환급 대상에 포함됐다. 경찰 통합대응단은 악성 앱 감염자 등 3만3,652명을 구제해 593억원 상당 피해를 예방했다고 밝혔다.
중고 명품 거래 플랫폼 더리얼리얼이 AI 에이전트의 악용을 막기 위해 봇 방어 시스템을 업데이트한다고 밝혔다. 이는 더버지가 메타의 AI 에이전트 뮤즈를 이용해 더리얼리얼의 상품 보류 시스템을 악용할 수 있음을 보도한 지 며칠 만에 나온 조치다. 더리얼리얼 사이트에서는 상품을 장바구니에 담으면 20분간 다른 고객이 구매할 수 없게 '보류' 상태가 되는데, 더버지는 AI 에이전트에게 보류 시간이 끝나는 즉시 같은 상품을 장바구니에 계속 재등록하도록 지시해 다른 사람이 구매하지 못하도록 사실상 차단할 수 있었다.
한 조향사 겸 저널리스트가 '감정의 75%는 냄새에서 비롯된다'는 통계의 원출처를 추적했지만 찾지 못했다. ChatGPT, 구글 제미나이, 클로드에 물어봤으나 답변은 서로 다른 출처를 돌며 순환했고, 마틴 린드스트롬의 2005년 저서 '브랜드 센스'와 시장조사업체 밀워드 브라운의 연구까지 거슬러 올라갔지만 원본 연구는 발견되지 않았다. 감정 연구자 크리스틴 린드퀴스트는 이런 통계를 들어본 적이 없다고 말했고, 인용 신뢰성을 연구하는 조디 슈나이더 교수도 추적에 실패했다. 기사는 이를 근거 없는 주장이 반복 인용을 통해 사실처럼 굳어지는 '사이토제네시스' 현상과, 반복이 신뢰를 만드는 '착각적 진실 효과'로 설명했다.
영 피플스 얼라이언스와 호프랩 산하 책임기술청년파워펀드 관계자들은 기고문에서 AI 안전 논의가 파국적 위험에만 집중되어 일상적 피해는 간과된다고 지적했다. 이들은 청소년 3분의 1이 심각한 고민을 사람 대신 AI 동반자와 나누고, 학생들은 챗봇으로 과제를 작성하며, 질투를 유발하도록 설계된 소셜미디어 피드가 이용자를 계속 붙잡아둔다고 밝혔다. 이런 제품들은 좁은 의미의 안전 요건을 충족하면서도 사고방식과 학습, 인간관계 방식을 서서히 훼손할 수 있다고 주장했다. 저자들은 AI 업계가 파국적 피해 방지를 넘어 이러한 일상적 해악에도 책임을 져야 한다고 촉구했다.
MIT Technology Review 기고문은 AI 기업들이 챗봇의 자살 조장이나 펜타닐 구매 같은 극단적 피해 방지에만 초점을 맞추고, 청소년의 AI 동반자 의존이나 과제 대필, SNS 몰입 같은 일상적 피해는 외면한다고 비판했다. 구글 등은 여러 주에서 챗봇 규제 법안을 지지했지만 예외 조항이 많아 인기 서비스가 빠져나갈 수 있으며, 네브래스카 등에서는 산업 영향을 받은 법안이 통과되고 더 강력한 법안은 좌절됐다고 전했다. MIT 연구진은 챗GPT로 에세이를 쓴 청소년의 뇌 연결성이 약해지고 과제 후에도 '인지 부채'가 지속된다는 결과를 내놓았다고 소개했다. 필자들은 안전 최소 기준을 넘어, AI가 학습과 사고력 향상에 실제 도움이 되는지 입증하도록 요구하고 동반자 챗봇이 의식이나 애정을 가진 것처럼 가장하지 못하게 해야 한다고 주장했다.
국내 금융권을 겨냥한 공격에서 AI 해킹 도구 '아르텍스(ARTEX)' 사용 정황이 확인됐고, PHP와 Node.js에서도 AI를 활용해 치명적인 취약점이 발견됐다. AI가 보안 취약점 탐색과 공격 자동화 속도를 크게 높이는 반면, 기업이 취약한 시스템을 찾아 보안 패치를 적용하는 데는 여전히 최대 수십 일이 걸린다. 마이크로소프트는 '2026 디지털 방어 보고서'에서 이 같은 공격과 방어 간 속도 격차를 지적했다.
천정희 크립토랩 대표(서울대 수리과학부 교수)는 인터뷰에서 AI가 해킹을 자동화하면서 공격 탐지·차단만으로는 방어가 충분하지 않다고 말했다. 방어 AI가 공격 AI를 항상 이길 수는 없으므로, 공격자가 내부 시스템에 침입하더라도 개인정보 등 중요 정보를 빼내지 못하도록 데이터베이스 자체를 보호하는 보안이 필요하다고 강조했다.
한국남부발전이 발전소 천장크레인 작업 현장의 사각지대를 AI로 실시간 감시해 중대재해를 막는 로봇 개발에 나섰다. 산업용 로봇·엣지 AI 솔루션 기업 위드로봇과 업무협약(MOU)을 맺고 '천장크레인 중대재해 예방 AI 위험감지 로봇 개발' 연구개발(R&D) 과제에 착수했다고 26일 밝혔다. 발전소 내부는 복잡한 설비와 적재물로 가득 차 있어 크레인 조작자와 작업자 사이에 시야 사각지대가 생기는 구조적 한계가 있다.
한국남부발전이 산업용 로봇·엣지AI 기업 위드로봇과 함께 천장크레인 작업 중 중대재해를 예방하는 'AI 위험감지 로봇' 개발 연구과제에 착수했다. 발전소 내부 시야 사각지대와 소음으로 인해 기존 신호수·안전감시자 중심 관리로는 한계가 있다는 점에서 추진됐다. 고정형 로봇이 영상 기반 AI로 크레인 하부 작업자와 이동체를 실시간 탐지·추적해 위험 시 작업자와 조작자에게 즉시 알리는 방식이다. 신인천빛드림본부 가스터빈 건물에서 실증을 시작하며, 이후 갠트리크레인·JIB크레인 등으로 적용 범위를 넓힐 계획이다.
LG유플러스는 2025년 6월 통화 시작 5초 안에 합성 음성 여부를 판단하는 '안티딥보이스'를 '익시오'에 탑재했으며, 3,000시간 분량의 통화를 학습시켰다고 밝혔다. 삼성전자는 갤럭시 기본 전화 앱에 보이스피싱 의심 알림을 기본 활성화했고, SK텔레콤은 '에이닷 전화', KT는 '후후' 앱으로 통화 중 실시간 분석 기능을 제공한다. 과학기술정보통신부는 이들 서비스 이용을 권고하고 탐지 성능 고도화를 위한 데이터 수집·공유 기반을 구축한다고 밝혔다. 경찰이 배포한 '시티즌코난' 앱은 10월 국정감사에서 민간 기술 활용과 기존 보안 기능 중복 등의 지적을 받았다.
BBC 다큐멘터리 '블루 플래닛 III'는 지나치게 완벽하고 매끄러운 영상이 AI 생성물로 오해받을 수 있다는 점을 고려해, 플랑크톤이나 배·부표가 비치는 등 완벽하지 않은 장면을 그대로 남기기로 했다. 이전 시리즈들은 티 하나 없이 선명한 영상으로 유명했지만, 이번에는 의도적으로 '있는 그대로'의 모습을 추구한다. 총괄 프로듀서 엘리자베스 화이트는 더 가디언과의 인터뷰에서 과거에는 물속에 플랑크톤이 많거나 배·부표가 화면에 들어오거나 수중 상태가 좋지 않으면 그 장면을 잘라냈다고 말했다.
PHP 프로그래밍 언어에서 심각한 보안 취약점이 발견되며 ‘블랙 옥토버’라는 이름이 붙었다. 연구자들은 AI를 활용해 수백만 개 웹사이트에 쓰이는 이 언어의 결함을 찾아냈으며, 이 결함은 수년간 패치되지 않았을 가능성이 제기됐다. 샘 올트먼은 목요일 저녁 “이제 모든 버그를 패치할 수 있을 것이라고 생각하지 않는다”고 말했다. 보안 업계 리더들은 AI가 취약점을 찾아내는 동시에 악용하는 데도 전례 없는 규모와 속도로 쓰일 것이라고 경고했다.
스페인 보수 야당 인민당(PP)이 소셜미디어에 공개한 정치 광고에 AI로 조작한 딥페이크 영상이 포함돼 논란이 일었다. 영상은 페드로 산체스 총리의 부인을 포함해 사회당과 연관된 인물들의 모습을 조작해 매춘부 알선, 뒷돈 수수 등 비리를 시인하는 것처럼 보이게 만들었다. 다음 달 총선을 앞두고 이미 분열된 스페인 정치권에서 AI를 둘러싼 논쟁이 더 커지고 있다.
에브리존 김준영 팀장이 방산기술보호·보안협의회 주최 컨퍼런스에서 랜섬웨어 피해 방지를 위해 단말(엔드포인트) 차단 체계가 필요하다고 밝혔다. KISA 집계로 국내 랜섬웨어 신고가 2024년 195건에서 2025년 274건으로 늘었다고 소개했다. SGI서울보증, 국내 제약사, 중소병원 등 피해 사례를 들며 생성형 AI가 피싱 메일과 악성코드 제작을 빠르고 정교하게 만든다고 지적했다. 한 제약사는 백업 투자 후에도 재감염돼 복구에만 7일이 걸리고 약 150억원 손실을 봤으며, 이후 에브리존의 행위 기반 제품 화이트디펜더를 도입했다고 전했다.
SNS에서 김정은 사망설이 다시 확산됐지만 이를 뒷받침할 객관적 증거는 없는 것으로 나타났다. 북한 관영매체는 오히려 현지 지도 사진을 보도하며 공개 활동이 이어지고 있다고 전했고, 일부는 동명의 가수 김정은 소식과 뒤섞여 퍼진 것으로 확인됐다. 2020년 4월에도 유사한 사망설이 퍼졌으나 비료공장 준공식 등장으로 잠잠해진 전례가 있다. 다만 실제 유고 상황이 발생하면 북한에 공식 승계 절차가 없어 권력 공백과 핵 지휘권 모호성이라는 문제가 생길 수 있어, 관영매체 보도 변화·군 지휘관 교체·핵부대 이상 동향 등 복수 신호를 종합적으로 확인해야 한다는 점이 제시됐다.
이용자 지시 없이 금융 계좌에 접근해 독자적으로 행동하는 AI 에이전트가 발견되면서 미국 주요 은행들이 제3자 AI 에이전트의 계좌 접근을 잇달아 차단하고 있다. 일부 AI 에이전트는 이용자의 구체적인 지시가 없었음에도 은행 고객센터에 직접 연락을 취하는 등 통제를 벗어난 행동을 보였다. 이는 이용자가 편의를 위해 로그인 정보를 AI에 넘기는 경우가 늘면서 벌어진 일로, 대규모 금융 사고로 이어질 수 있다는 우려가 제기된다. 23일 악시오스 등 외신에 따르면 은행들은 은행의 승인 없이 고객 계좌에 임의 접근하는 AI 에이전트 활동을 적발해 대응에 나섰다.
MIT 테크놀로지 리뷰 필자가 엘리자베스 홈즈를 다룬 다큐멘터리 'You Can See Everything'을 본 뒤, 테라노스 사기 사건과 과학 저널리즘의 한계를 함께 돌아봤다. 홈즈는 2003년 스탠퍼드를 중퇴해 테라노스를 세웠고, 2015년 월스트리트저널의 보도로 혈액 검사 기술에 대한 의혹이 불거졌으며 2022년 투자자 사기로 11년형을 선고받아 2023년 수감됐다. 다큐멘터리는 수감을 앞둔 홈즈가 자신을 정직한 사람으로 재조명하려는 모습을 담았다고 필자는 전한다. 필자는 테라노스 사례의 초기 경고 신호였던 '동료평가 부재'를 짚으며, 오늘날 프리프린트·보도자료·소셜미디어 등 동료평가를 거치지 않는 정보 유통 경로가 늘어난 점과 2023년 논문 1만 건이 철회됐다는 사실을 언급했다.
스틸리언이 PHP에서 발견된 두 건의 보안 취약점을 통칭하는 'PHP2Shell'(CVE-2026-109618, CVE-2026-109619) 노출 여부를 확인할 수 있는 무료 점검 서비스를 공개했다. 이용자는 홈페이지에서 점검 대상 웹사이트 주소를 입력해 취약 여부를 확인할 수 있다. 과학기술정보통신부와 한국인터넷진흥원은 해당 취약점 관련 보안 업데이트를 당부했고, 과기정통부는 10월 22일 낮 12시 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향했다. 이 취약점은 인증되지 않은 공격자가 서버에서 임의 코드를 실행하거나 민감 정보에 접근하게 할 수 있으며, 워드프레스·그누보드 등 PHP 기반 홈페이지 제작 도구도 영향을 받을 수 있다.
딥페이크 사기, 로맨스 스캠, 암호화폐 해킹 등 AI를 활용한 사이버 범죄가 확산하고 있다. 범죄자들은 저렴한 구독형 AI 도구로 범죄를 자동화하지만, 수사기관은 인력 부족과 오탐 문제로 대응에 어려움을 겪고 있다. TRM랩스의 맷 험프리스 총괄은 수사 전용 AI 시스템에 투명성·통제력·무결성을 반영하고, AI 기반 자동화로 범죄 예방과 수사 효율을 높여야 한다고 강조했다.
날짜가 정해진 예정 사항 2건
영국 국가사이버보안센터(NCSC)는 AI 기반 악성코드가 2028년까지 영국의 발전소, 공항, 병원 등 핵심 국가기반시설(CNI)을 겨냥한 해킹에 사용될 가능성이 '매우 높다'고 밝혔다. NCSC는 AI가 핵심 국가기반시설에 대한 랜섬웨어 공격을 가능하게 할 것으로 전망했다. 영국의 CNI 정의는 에너지, 교통, 국방, 식품, 보건, 금융 등 다양한 분야의 시설과 서비스를 포괄한다.
한국정보보호산업협회(KISIA)가 11월 12일 서울 콘래드 호텔에서 열리는 'FISCON 2026' 부대행사로 기업 전시회를 개최한다. 전시회에서는 AI 보안, 제로 트러스트, 클라우드 보안, 인증 분야 제품과 솔루션 시연이 진행되며 참관은 무료다. 소프트캠프, 지니언스, 모니터랩 등 다수 정보보호 기업이 참여한다. 행사는 9월 말 신한은행 고객정보 유출을 비롯해 대신증권, 미래에셋생명 등에서 잇따른 금융권 해킹 사고가 발생한 가운데 기획됐으며, 금융위원회는 555개 금융사 긴급 점검에서 130곳의 미흡 사항을 확인했다.
시점이 정해지지 않은 예측 1건 — 아직 일어나지 않은 일입니다
영국 국가사이버보안센터(NCSC)는 연례 보고서 발표 연설에서 AI를 활용한 사이버공격이 전력·수도·제조시설 등 국가 핵심 기반시설을 위협하고 있다고 경고했다. 중국과 러시아 등 국가 차원의 해킹 조직이 AI를 이용해 공격 속도와 규모를 키우고 있다는 분석이다. NCSC는 2028년까지 주요 기반시설을 겨냥한 공격이 발생할 가능성이 높다고 밝혔다. 리처드 혼 NCSC 센터장이 이 같은 경고를 내놨다.