[보안 레이더] 정부, 위험 기반 실태 점검…AI발 버그 신고에 리눅스 '몸...

[아이티데일리] 개인정보보호위원회가 데이터 처리 규모와 민감도에 따라 위험군을 3단계로 분류하고, 플랫폼 및 금융 등 고위험군을 집중 점검하는 예방 중심의 보호체계 전환을 추진한다. 서비스 기획 단계부터 보안을 기본 반영하는 ‘개인정보 보호 중심 설계(PbD)’ 원칙도 제도화해 기업들의 보안 투자를 유도할 계획이다.

AI로 찾아낸 취약점은 얼마나 의미가 있을까. 리눅스(Linux) 창시자인 리누스 토발즈(Linus Torvalds)는 AI 도구를 활용한 버그 신고가 폭증해 보안 메일 관리가 마비될 수준에 이르렀다고 지적했다. 무의미한 중복 보고가 늘어난 탓이었다. 리누스 토발즈는 신고에 그치지 말고 실제 패치 개발 등 실효성 있는 기여를 해줄 것을 커뮤니티에 촉구했다.

개인정보보호위원회 송경희 위원장이 지난 13일 오후 서울 종로구 세종대로 정부서울청사에서 열린 전체회의에서 모두 발언을 하고 있다. (사진=개인정보보호위원회)

개인정보위, 6월부터 실태 점검…고·중·저 위험군 차등 관리

개인정보보호위원회는 22일 열린 경제장관회의에서 ‘예방 중심 개인정보 관리체계 전환계획’을 발표했다. 이는 지난 12일 국무회의에 보고한 계획의 후속 조치로, 개인정보 침해·유출 위험을 사전에 식별·관리하는 예방 중심 보호체계 전환을 추진하기 위해 마련됐다.

개인정보 처리 규모, 민감도, 산업 특성을 고려해 위험군을 고·중·저로 구준해 점검과 관리를 실시한다. 고위험군의 경우 점검 분야를 사전 공개 후 정기·수시 점검으로 내부통제 운영 실태를 살핀다. 올해는 대규모 개인정보나 민감 정보를 처리하는 △플랫폼 △금융기관 △공공기관 △에듀테크를 중심으로 실태 점검이 진행된다.

자발적인 보안 투자를 유도하는 정책도 추진한다. 이를 위해 개인정보 보호를 서비스 기획·설계·개발 단계부터 기본으로 반영하는 ‘개인정보 보호 중심 설계 원칙(PbD)’을 제도화한다. 그간 개인정보위는 IP 카메라, 로봇청소기 등 일부 제품 대상으로 PbD 인증을 운영했다. 향후 개인정보보호법 개정과 함께 안내서, 우수사례를 마련·보급한다. ISMS-P 인증 등 기존 평가·인증 기준에도 PbD 원칙을 반영할 계획이다.

AI로 찾은 버그 홍수에 리누스 토발즈 “메일함 마비 상태”

리눅스(Linux) 운영체제 커널(Kernel) 개발을 주도하는 리누스 토발즈가 인공지능(AI)으로 자동 생성된 보안 결함 신고가 폭주하며 관리가 불가한 상황에 달했다고 토로했다. 리누스 토발즈는 1991년 리눅스 운영체제를 처음 개발해 공개한 창시자다.

리누스 토발즈는 지난 19일 리눅스 7.1 네 번째 릴리즈 후보(rc4)를 발표하는 주간 커널 보고서를 통해 “AI 기반 버그 보고서게 쏟아지며 보안 메일 목록 관리가 거의 불가능한 수준에 이르렀다”고 밝혔다.

토발즈가 꼽은 원인은 심각한 중복 보고다. 같은 AI를 사용하는 사람이 동일한 문제를 발견하며 중복된 버그 보고가 쏟아지는 것이다. 수정된 버그임에도 같은 내용이 수차례 보고되는 탓에 메일을 확인하고 안내하는 데만 시간을 허비한다고 토발즈는 설명했다.

토발즈는 “AI가 발견한 버그는 본질적으로 비밀이 아니”라며 “AI 도구는 불필요한 고통과 무의미한 작업을 만드는 대신 실제로 쓸모가 있을 때만 훌륭하다”고 꼬집었다.

이어 “AI로 버그를 발견했다면 다른 누군가도 같은 결과를 찾아냈을 가능성이 크다”며 “진정으로 가치를 더하고 싶다면 문서를 읽고 패치를 개발해 작업에 의미를 부여하라”고 강조했다.

MS 디펜더, 권한 상승 취약점 악용 활발

마이크로소프트(MS)는 21일(현지 시각) ‘MS 디펜더’에서 발견된 취약점 두 개가 활발히 악용되고 있다고 발표했다. MS 디펜더는 윈도(Windows) 운영체제에 기본으로 내장된 보안 프로그램으로 안티바이러스, 랜섬웨어 방지, 방화벽 등을 제공한다.

이번에 MS 디펜더에서 발견된 취약점은 ‘CVE-2026-41091’과 ‘CVE-2026-45498’이다. CVSS 7.8점을 받은 CVE-2026-41091은 시스템에 침투한 공격자가 관리자 권한을 확보할 수 있는 취약점이다. 디펜더가 파일을 검사하거나 처리하는 과정에서 파일 경로와 연결된 링크를 확인하지 못해 공격자가 의도한 경로로 접근하게 허용할 수 있었다. CVE-2026-45498은 서비스 거부(DoS) 취약점으로 디펜더의 정상 작동을 방해했다.

MS는 두 취약점을 해결하는 패치를 공개했다. CVE-2026-41091은 MS 악성코드 보호 엔진 1.1.26040.8 버전을 통해, CVE-2026-45498은 MS 디펜더 안티멀웨어 플랫폼 4.18.26040.7 버전을 통해 해결됐다. 미국 사이버보안 및 인프라보안국에서 두 취약점을 ‘알려진 악용 취약점(KEV)’ 목록에 추가한 만큼 빠른 패치가 요구된다.