AI 보안
6개의 글
클로드 기업계정 유출 조사, 관리자 점검 순서
앤트로픽이 10월 31일 국내 기업용 클로드 계정 정보 유출을 개인정보보호위원회에 신고했고, 위원회가 정식 조사에 착수했으며 신고된 계정은 100여 개다. 유출 경로는 아직 지목 단계로 확정되지 않았지만 이름과 이메일이 노출됐다면 피싱과 계정 탈취 같은 2차 공격이 현실적 위험이다. 관리자는 경로 추측보다 멤버 목록·API 키·연동 권한·사용 로그를 순서대로 점검하고 공급사 공지는 공식 경로로 진위를 확인해야 한다.
AI 요금폭탄 막기: 키·한도·알림 3단계
탈취한 API 키로 AI 모델을 몰래 쓰거나 되파는 LLMjacking으로, 한 피해 기업은 하루 10만달러, 누적 100만달러(약 13억원)의 요금을 떠안았다. 공격자는 깃허브 등에 노출된 키를 긁어 피해자가 쓰지도 않던 AI 서비스까지 켜서 대량 호출하기 때문에, 사용 한도가 없으면 요금은 순식간에 불어난다. 키를 비밀번호처럼 보관하고 OpenAI·Anthropic 등의 사용 한도와 지출 알림을 미리 걸어두는 것이 1차 방어선이다.
AI 해킹에 뚫린 은행, 이용자가 바꿀 확인 습관
9~10월 국내 금융사 여러 곳이 AI를 쓴 것으로 추정되는 자동화 공격에 뚫려 약 6만8천여 건의 개인정보가 유출됐고, 당국은 소비자경보를 발령했다. AI 공격에서 확인된 건 공격 IP에서 AI 침투도구 흔적이 나오고 공격이 대량 자동화됐다는 점이며, AI가 어디까지 자율적으로 했는지는 아직 수사 중이다. 유출된 정보로 맞춤형 피싱이 정교해질 수 있으니, 문자·전화 링크 대신 공식 앱과 대표번호로 직접 확인하고 다중 인증과 사고예방시스템 등록을 점검해야 한다.
클로드 군함 추적, 앤트로픽은 이렇게 막았다
앤트로픽이 위협 인텔리전스 팀과 행동 기반 자동 탐지로 이란 연계 계정의 미 해군 표적 정보 작성 시도를 잡아내 정지했다. 이는 내 계정을 지키는 계정 보안이 아니라, 서비스를 악의적 목적에 쓰는 행위를 감시하는 별개 층위의 문제다. AI 서비스의 대응 수준은 투명성 보고서, 자동 탐지 유무, 우회 대응, 프라이버시와의 균형으로 가늠할 수 있다.
오픈AI 아스트라 보안 제한, 실무 점검 포인트
오픈AI가 9월 1일 신모델 아스트라를 준비성 프레임워크의 사이버보안 '크리티컬' 임계를 넘은 첫 모델이라며 첨단 사이버 능력의 접근을 제한한다고 밝혔다. 제한 대상은 제로데이를 자율로 찾아내는 공격형 능력이지 일반 업무 활용이 아니라는 점이 실무에는 더 중요하다. 능력이 앞선 모델일수록 벤더의 접근통제·데이터 처리·모니터링 정책이 도입 판단의 변수가 되므로, 성능보다 이 항목들을 계약 전에 문서로 확인하는 편이 낫다.
딥시크 에이전트, 회사 도입 전 확인할 보안 포인트
DeepSeek 에이전트는 함수 호출과 MCP로 사내 데이터에 직접 접근·실행하는데, 공식 API로 보낸 데이터는 중국 서버에서 처리되고 중국법의 적용을 받는다. 자율 실행이 넓힌 접근 권한과 데이터의 국외 이전이 겹치는 문제로, 개인정보보호위원회가 실제로 무단 이전을 확인해 시정을 권고한 전례가 있다. 도입 전에는 데이터 경로(공식 API 대 오픈웨이트), 접근 범위, 되돌리기 어려운 작업의 승인 절차, 로그 추적을 점검해야 한다.