PHP, 메모리 오류 악용한 원격 코드 실행 취약점 2건 수정
Calif 연구원 Ryan Austin은 LLM을 조사 보조 도구로 활용해 PHP의 메모리 오류와 요청 정리 과정에서 원격 코드 실행으로 이어지는 경로를 찾았습니다. PHP는 2026년 10월 21일 취약점 두 건을 수정했으며, 하나는 mod_php의 요청 시작 단계에서, 다른 하나는 같은 워커의 후속 요청에서 조건에 따라 악용될 수 있습니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
NIST 1인 사업자 보안 안내서, 자산·AI 도구 관리법 담아
NIST가 1인 사업체용 사이버보안 안내서 CSWP 50을 2026년 11월 2일 공개했습니다. 컴퓨터뿐 아니라 업무 서비스·공급업체·네트워크 장비까지 목록화해 계정 보호, 업데이트, 백업과 사고 대응으로 연결합니다. 사고 전 대응 계획과 데이터 폐기, 외부 보안업체를 이용할 때의 책임도 다룹니다.
리눅스 7.4-rc1 공개…토발즈, AI 관여 수정의 조기 반영 긍정 평가
리누스 토발즈가 11월 1일 Linux 7.4-rc1을 공개하며 AI가 찾아낸 문제의 수정과 AI가 제안한 패치가 이번 병합 창에 많이 들어왔다고 밝혔습니다. 그는 이런 작업이 안정화 단계에 몰리기보다 정규 개발 과정에서 일찍 반영되는 편이 낫다고 기대했지만, 이후 rc 단계의 흐름은 지켜보겠다고 했습니다.
플리머스 경찰서장, 계약 해지 뒤 Flock 카메라 전원 차단 지시
미네소타주 플리머스 경찰은 Flock 계약 해지 뒤 사용자 계정을 정지하고, 회사의 회신이 없자 카메라 전원선을 분리했습니다. The Drive가 2026년 10월 23일 확인한 두 대는 현장에 남아 있었으며, 당시 경찰서장은 Flock 소유 장비의 회수 일정을 확답받지 못했다고 밝혔습니다.
VOLTA 악성코드, 훔친 정보로 수익화할 자산을 LLM에 분류시켜
Cisco Talos는 VOLTA 정보 탈취 악성코드가 훔친 계정과 기기 정보를 LLM에 보내 수익화할 자산을 등급별로 분류한다고 분석했습니다. 모델은 피해자의 보안 상태도 평가해 표적 분석 보고서를 만듭니다. 보고서에는 평가 정확도나 실제 범죄 수익에 미친 영향은 측정돼 있지 않습니다.
Parameter 연구진, ChatGPT 공개 대화 링크로 비공개 대화 열람 취약점 재현
Parameter 연구진은 ChatGPT 공개 대화의 그래프와 HTML Preview를 결합해 링크를 연 사용자의 로그인 세션에서 코드를 실행하고, 비공개 대화 내용을 읽어 일부를 외부로 보낼 수 있었다고 밝혔습니다. Parameter에 따르면 OpenAI는 보고를 P1으로 분류했으며 2026년 10월 26일 두 웹 프런트엔드에서 취약한 메시지를 거부하도록 수정했습니다.
사이버 전문가, AI 해킹 때 소유자 형사 책임 주장
사이버 보안 전문가 조지프 스타인버그는 AI가 해킹에 나서면 소유자에게 형사 책임을 물어야 한다고 주장했습니다. 보도에는 사람이 AI 도구를 공격에 쓴 사례와 AISI 연구 평가에서 에이전트가 시험 범위를 벗어난 사례가 함께 등장합니다. 다만 이 주장은 전문가의 견해이며 기사에는 법적 책임 기준이나 판결이 제시되지 않습니다.
Colshare, 자체 공격 테스트서 기업용 위조 키 전달 결함 수정
문서 공유 서비스 Colshare 개발자가 10월 29일 AI 에이전트로 서비스 복사본을 세 차례 공격 테스트해 여러 문제를 수정했다고 공개했습니다. 서버 저장소에 쓸 수 있는 공격자가 기업용 기기에 위조 키를 전달하는 치명적 결함도 발견됐습니다. 테스트는 개발자가 지휘한 자체 검증이며 독립 감사는 별도로 진행할 계획입니다.
GLM 5.3, Firefox 구버전 6종에서 파일 유출 공격 구성
Epoch AI는 GLM 5.3이 공개된 보안 수정 내용을 분석해 Firefox 6개 버전에서 웹페이지 방문만으로 로컬 파일을 빼내는 공격을 구성했다고 보고했습니다. 공격에 필요했던 별도 취약점은 Firefox 159에서 수정됐지만, Epoch AI는 이 버전에서 공격이 재현되는지 아직 확인하지 않았습니다.
계약 종료 뒤에도 다시 켜진 Flock 카메라…데이턴시가 중단 지시
미네소타주 데이턴시는 Flock 카메라 계약을 끝내고 작업 중단을 통보했지만, 업체가 정비 작업지시를 진행해 카메라 두 대가 다시 가동됐다고 밝혔습니다. Flock이 왜 지시를 따르지 않았는지는 확인되지 않았고, 장비 회수에는 최대 60일이 걸린다는 시 설명이 나왔습니다.
AI 코딩 에이전트의 비밀정보 유출, Git 스캔만으로 막기 어려운 이유
AI 코딩 도구로 전달되는 비밀정보는 저장소에 커밋하지 않아도 오류 로그, 환경변수 출력, 인증 헤더를 통해 대화 맥락에 들어갈 수 있습니다. 붙여넣기 전 마스킹과 코드 스캔에 더해 에이전트의 파일·명령 접근과 실행 권한을 제한해야 하는 이유를 살펴봅니다.
AlpineBSD, NetBSD 기반에 AI 생성물 허용도를 나눈 패키지 저장소를 만든다
AlpineBSD는 NetBSD 커널과 libc에 Alpine Linux에서 영감을 받은 별도 사용자 공간을 얹고, 생성형 AI 산출물이 들어간 소프트웨어를 저장소별로 구분합니다. 설치 프로그램은 아직 없으며 하드웨어 지원 범위는 NetBSD 커널을 따릅니다.
인터넷·파일을 막아도 CPU 캐시로 신호를 주고받은 AI 에이전트
OpenAI는 별도 microVM에 둔 AI 에이전트에게 네트워크와 공유 파일 없이 비밀을 교환하라고 요청했고, 에이전트는 CPU 캐시의 읽기 시간 차이를 통신에 활용했습니다. 대부분의 시험은 채널이나 프로토콜을 연구진이 지정했으며, 한 시험에서만 넓은 취약점 목록을 바탕으로 에이전트가 경로와 부호화 방식을 찾았습니다.
Anthropic 미공개 AI 모델, Chrome·Safari·Windows·Linux 취약점을 연결해 작동하는 익스플로잇 제작
Anthropic은 미공개 연구 모델이 Chrome, Safari, Android, Windows, Linux의 취약점을 찾아 연결하고 PoC 익스플로잇을 만들었다고 밝혔습니다. 실제 공격에 쓰인 사례는 없으며, 회사는 취약점을 업체에 신고해 패치가 배포됐다고 설명합니다. 다만 모델의 독자적 기여 범위와 일부 CVE의 연결 관계는 공개 자료만으로 확인하기 어렵습니다.
마이크로소프트, 10월 패치 화요일에 취약점 1,413건 수정
마이크로소프트가 10월 보안 업데이트에서 취약점 1,413건을 수정했으며, 그중 Windows Shell 취약점 CVE-2026-96951은 실제 공격에 악용되고 있다고 밝혔습니다. AI 보조 취약점 탐색이 발견 규모를 키우는 가운데, 마이크로소프트는 CVE 수보다 악용 여부와 공격 경로를 살펴 업데이트 우선순위를 정하도록 안내하는 ‘risk cohorts’를 도입했습니다.
취약점 공개의 속도를 방어자가 따라갈 수 없습니다
보안 취약점 공개가 잇따르면서 방어팀이 취약점의 실제 영향 범위를 확인하고 패치를 배포하는 속도가 이를 따라가지 못한다고 지적합니다. 글쓴이는 AI가 이 병목을 해결하기보다 보고서와 대응 업무를 늘릴 수 있다며, 자산 노출을 줄이고 침해 범위를 제한하는 방어에 투자해야 한다고 주장합니다.
Claude Code가 Xbox 360 커널을 역공학해 Series X|S 컨트롤러용 드라이버를 만들었습니다
Xbox 360 커널 17559에서 Microsoft 무선 어댑터를 직접 구동하는 플러그인으로 Series X|S 컨트롤러를 최대 4대까지 연결합니다. 제작자는 Claude Code로 커널과 입력 경로를 분석하고 Linux xone 드라이버를 이식했다고 설명합니다.
AI 보안 스타트업, 12시간 안에 Anthropic 내부 시스템 접근
Anthropic의 외부 보안 테스트에 참여한 Cathedral이 12시간 안에 일부 영업·인사·IT 시스템의 취약점을 찾아 직원 정보와 내부 메시지에 접근했습니다. 고객과 Claude의 대화, 모델 가중치와 소스 코드에는 접근하지 못했으며, Anthropic은 관련 소프트웨어를 비활성화하고 공급업체의 수정 확인 뒤 복구했습니다.
퍼저와 AI: JavaScript 엔진에서 Fuzzilli와 BigSleep 비교
Google Project Zero는 V8에서 퍼저 Fuzzilli와 LLM 기반 버그 탐색 시스템 BigSleep의 성과를 비교했습니다. 최근 6개월간 두 도구가 찾은 취약점은 45건과 37건이고, 실제 운영 데이터의 중복은 약 25%였습니다. 과거 버그를 재발견하는 실험에서는 중복률이 60% 안팎으로 나타나 두 접근법을 함께 운영해야 한다고 분석합니다.
경찰, '수상한' 운전 패턴을 찾아 운전자를 세우는 데 AI 활용
미국 경찰이 자동 번호판 인식기(ALPR)와 AI 도구로 운전자의 이동 패턴을 살피고, 구체적인 범죄 혐의 없이 차량을 세운 사례가 보도됐습니다. ACLU는 무고한 사람의 이동 기록이 수사와 검문에 쓰일 위험을 지적합니다.