AI가 찾아낸 웹서버 취약점과 업무 비서의 승인 절차, 공공 보안·반도체 도입 소식

바다입니다. AI가 찾아낸 웹서버 취약점과 업무형 AI의 승인 절차, 공공기관의 보안·반도체 도입 소식을 전합니다.

핵심요약

• 보안기업 위즈가 AI를 활용해 PHP의 중대 취약점을 찾아 공개했습니다. 기관 홈페이지의 사용 여부와 보안 업데이트 적용 상태를 확인할 시점입니다.
• 클로드 듀엣은 메시지 발송·결제 전에 승인을 받는 업무형 AI를 시험 공개했습니다. 구글 클라우드는 일부 기업에 OpenAI 모델 제공을 시작했습니다.
• 국정자원은 클라우드 보안 통합 방안을 공유했고, 산업부는 국산 AI 반도체 구매 확대 협약을 예고했습니다. 세종시는 재난 상황전파 절차의 시간 단축 사례를 소개했습니다.

1. AI로 발견한 PHP 중대 취약점…홈페이지 운영환경 확인 필요

보안기업 위즈는 21일 AI를 활용해 웹사이트 서버용 프로그래밍 언어 PHP의 중대 취약점을 발견했다고 공개했습니다. 연구진은 공격자가 로그인하지 않고 서버에서 코드를 실행하거나 메모리의 민감정보를 읽을 수 있는 문제를 확인했으며, 같은 날 PHP 보안 수정판이 나왔다고 밝혔습니다. 워드프레스·드루팔·줌라에서 공격 가능성을 실증했지만, 문제는 이들 제품에만 한정된 것이 아니라 PHP 자체에 있습니다.

업무 시사점: 홈페이지 운영업체에 PHP 사용 여부, 영향받는 버전, 보안 수정판 적용 결과를 요청하고 실제 반영 여부까지 확인하는 것이 좋겠습니다.

출처: Wiz Research 공식 분석

2. 클로드 듀엣, 먼저 업무를 챙기되 발송·결제는 승인 후 실행

앤트로픽은 연결된 앱을 살펴 아침 요약을 보내고, 사용자가 자리를 비워도 작업을 계속하는 ‘클로드 듀엣’을 연구용 미리보기로 공개했습니다. 읽기·초안 작성·준비 작업은 스스로 하되 메시지 발송, 결제, 문서 서명, 삭제 전에는 실행 내용을 보여주고 승인을 기다리도록 설계했다는 설명입니다. 미국 Pro·Max 이용자의 대기자 명단부터 시작하며, 백그라운드 작업도 기존 요금제의 사용 한도를 소비합니다.

업무 시사점: 업무 비서를 설계한다면 AI가 혼자 준비할 수 있는 일과 사람이 승인해야 하는 외부 실행을 먼저 나눠 볼 만합니다.

출처: Anthropic 공식 소개

3. 구글 클라우드에서 OpenAI 모델 제공…일부 기업 대상 미리보기

구글은 22일 자사 모델 선택 플랫폼에서 GPT-6 Astra, GPT-6.1 Sol, GPT-6 Luna를 일부 기업 고객에게 비공개 미리보기로 제공하기 시작했다고 밝혔습니다. 사용료는 구글 클라우드 청구서에 합산되고 기존 클라우드 약정에 반영되며, 공통 계정 관리와 감사기록 기능을 적용한다는 설명입니다. 다만 데이터 무보관 옵션과 별도의 기밀 컴퓨팅 기능은 향후 제공 예정으로, 현재 모두 지원하는 것으로 읽어서는 안 됩니다.

업무 시사점: 모델을 한 플랫폼에서 고르더라도 도입 심사에서는 모델별 제공 단계와 데이터 보관 조건을 각각 확인하면 좋겠습니다.

출처: Google Cloud 공식 발표

4. 국정자원, AI 해킹 대응과 클라우드 보안 통합 방안 공유

국가정보자원관리원은 21일 중앙부처·공공기관 정보화 담당자 등 300여 명이 참석한 협의회에서 웹 취약점 점검 확대와 긴급조치 방안을 공유했습니다. 민관협력형 클라우드의 업무시스템별 보안 서비스를 중앙집중형으로 재구성하고, 운영 관리를 통합하는 방안도 밝혔습니다. 장애 때 서비스를 복구하는 재해복구시스템 구축 현황과 지난 4월 제정된 정보시스템 안정성 고시의 준수 사항을 안내한 것으로, 복구체계 구축이 모두 끝났다는 발표는 아닙니다.

업무 시사점: 해당 환경을 이용하는 기관은 보안 조치와 장애 복구에서 기관·운영사업자가 각각 맡을 일을 운영계획과 대조해 볼 만합니다.

출처: 행정안전부·국가정보자원관리원 보도자료

5. 산업부, 11월 공공기관 국산 AI 반도체 구매 확대 협약 예고

김정관 산업통상부 장관은 22일 국정감사에서 산하 공공기관과 국산 반도체 관련 업무협약을 11월 중 체결할 계획이라고 밝혔습니다. 서울경제가 보도한 의원실 분석에 따르면, 조사 대상 42개 기관 중 21개 기관이 2024년 1월부터 올해 8월까지 산 AI 가속기 191장 가운데 국산은 1장이었고, **엔비디아 비중은 구매금액 기준 99.98%**였습니다. 협약 추진 계획이므로 전체 공공기관에 국산 제품 의무구매 규정이 시행됐다는 뜻은 아닙니다.

업무 시사점: AI 장비 도입을 준비한다면 학습된 모델로 답을 만드는 ‘추론’ 업무에서 국산 제품의 호환성·처리속도·유지보수 조건을 비교해 볼 만합니다.

출처: 국정감사 발언·서울경제

6. 세종시, AI 재난 상황전파 절차 ‘10분 이상→수초’ 사례 공유

세종시는 22일 글로벌 AI·디지털 정상회의에서 ‘세종 사이렌’ 사례를 소개했다고 밝혔습니다. 시 발표를 전한 연합뉴스에 따르면, AI가 상황전파문 작성과 전파대상 선정을 지원해 평균 10분 이상 걸리던 상황전파 절차를 수초 단위로 줄였습니다. 이 수치는 해당 절차의 처리시간이며 재난 대응 전체 시간이나 피해 감소 효과를 뜻하지는 않습니다.

업무 시사점: AI 성과를 측정할 때도 문안 작성·대상 선정처럼 실제로 단축한 작업을 구분하고, 사람의 확인 시간을 포함했는지 함께 기록하면 좋겠습니다.

출처: 세종시 발표·연합뉴스

업무에서 확인할 점

• 홈페이지 운영업체에 PHP 사용 여부와 보안 업데이트 적용 상태를 확인해 보세요.
• 업무형 AI의 외부 발송·삭제 승인 절차와 모델별 데이터 보관 조건을 살펴보세요.