[시큐리티핫이슈] 공급망 보안 '비상'...에이전트 보안 겨냥 M&A 확산

[디지털투데이 황치규 기자] AI 확산 속에 소프트웨어 공급망을 겨냥한 보안 위협이 점점 고조되는 모양새다.

3월 공격자들이 주요 자바스크립트(JavaScript) 라이브러리인 엑시오스(Axios) NPM(Node Package Manager) 패키지를 변조해 수백만 건 악성 배포를 일으킨 공급망 공격이 확인된데 이어 최근에는 가상 드라이브 유틸리티 데몬 툴즈(Daemon Tools) 공식 웹사이트에서 악성코드 인스톨러(trojanized installers)가 배포되는 공급망 공격이 발생했다. SAP, 인터콤, 라이트닝 등 개발자들이 널리 쓰는 소프트웨어 패키지들도 잇따라 해킹 공격에 노출됐다.

ㆍ데몬 툴즈 공식 웹사이트서 악성 인스톨러 배포...한 달간 탐지 못해

ㆍ공급망 공격 확산...SAP·인터콤·파이파이 라이트닝 패키지도 피해

AI 코딩툴이 제공하는 자동화 기능이 공급망 보안 위협을 더욱 키울 수 있다는 지적도 나오고 있다. 어드버사AI는 AI 코딩 툴 클로드 코드  자동화 기능을 악용해  공격자가 공급망 공격을 일으킬 수 있다는 점을 지적하고 나섰다.

ㆍ"AI 코딩툴, 공급망 보안 위협 가속화할 수도"

AI 에이전트에 대한 관심이 커지면서 에이전트 보안 관련한 기업들 행보가 빨라지고 있다. 이 과정에서 M&A도 늘고 있다. 시스코는 비 인간 신원(non-human identities, NHIs) 보안 전문 스타트업 아스트릭스 시큐리티(Astrix Security) 인수 의사를 공식화했다. 팔로알토 네트웍스는 AI 게이트웨이 전문 스타트업 포트키(Portkey)를 인수한다. 포트키는 자율 AI 에이전트들을 관리하고 보호하는 중앙 통제 플랫폼을 제공해왔다. 현재 월간 수조 건 규모 토큰을 처리하고 있으며 낮은 지연 시간으로 에이전트 간 통신을 구현할 수 있도록 지원한다.

ㆍ시스코, AI에이전트 보안 스타트업 아스트리스 인수 의사 공식화

ㆍ팔로알토 네트웍스, 포트키 인수... AI 에이전트 보안 플랫폼 강화

그외 AI를 둘러싼 국내외 기업들 행보를 정리했다.

오픈AI는 사이버보안 특화 모델 'GPT-5.5 사이버(Cyber)'를 선별된 사용자에게 먼저 공개한다. 오픈AI는 GPT-5.5 사이버를 "주요 사이버 보안 담당자들"에게 순차적으로 배포한다. GPT-5.5 사이버는 침투 테스트, 취약점 탐지 및 악용, 악성코드 리버스 엔지니어링  등의 작업을 수행할 수 있다. 기업들이 보안 취약점을 찾고 방어 체계를 검증하는 데 활용하는 툴킷으로 설계됐다. 악의적인 목적으로 오용될 수 있다는 우려도 있다.] 오픈AI GPT-5.5가 통제된 연구 환경에서 고도 사이버 공격 능력을 보였다는 영국 정부 산하 연구기관의 평가도 나왔다.

ㆍ오픈AI, GPT-5.5 사이버 제한 배포...검증된 보안 전문가들에 우선 공개

ㆍ英 AI안전연구소, GPT-5.5도 미토스 만큼 사이버 위협 경고

앤트로픽 CEO 다리오 아모데이는 자사 AI 모델 미토스(Mythos)가 발견한 수만 건 규모 소프트웨어 취약점을 고칠 시간이 얼마 남지 않았다고 경고했다. 중국 AI 모델이 앤트로픽 제품보다 6~12개월 뒤처져 있는 만큼 그 기간이 취약점을 수정할 수 있는 시간이라는게 그의 설명이다. 제이미 다이먼 JP모건체이스 CEO는 미토스에 대해 기존 보안 점검 도구보다 훨씬 빠르게 소프트웨어 취약점을 찾아낼 수 있다고 경고했다.

ㆍ앤트로픽 CEO "미토스가 수만 개 취약점 발견…"대응 시간 많지 않다"

ㆍJP모건 CEO "클로드 미토스 위험성 높아…금융권 대비해야"

AI를 활용한 보안 위협 우려가 커지면서 백악관이 일부 고성능 인공지능(AI) 모델을 대중에 공개하기 전에 사전 검토하는 방안까지 검토하고 있다.

ㆍ백악관, AI 모델 공개 전 사전 검토 추진…사이버보안 우려 반영

시스코가 기업들이 외부 AI 모델 사용과 관련된 보안·컴플라이언스 문제를 해결하도록 지원하기 위해 오픈소스 툴 '모델 프로버넌스 킷(Model Provenance Kit)'을 공개했다.

ㆍ시스코, 서드파티 AI 모델 출처 검증 오픈소스 툴 공개

KT는 새롭게 구성한 정보보안실을 중심으로 전사 정보보안 체계를 전면 정비한다. KT는 기존의 분산된 보안 기능을 통합한 정보보안실을 중심으로 보안 구조와 범위, 운영 수준 전반을 재설계했다.

ㆍKT, '통합 보안 거버넌스' 가동…고강도 쇄신 사활

AI 거버넌스 전문기업 이로운앤컴퍼니는 통합 AI 거버넌스 솔루션 ‘세이프엑스(SAIFE X) v1.0’이 조달청 나라장터 디지털서비스몰에 정식 등록됐다고 밝혔다. 네이버클라우드는 인증서를 자동으로 관리해주는 신규 보안 기능 ‘ACME’를 선보였다. SGA그룹은 창립 23주년을 맞아 시큐리티 포 AI(Security for AI)를 공식 비전으로 제시하고  AI 시대에 요구되는 통합 보안 체계를 강화한다.

ㆍ이로운앤컴퍼니, AI 거버넌스 솔루션 ‘세이프엑스’ 조달청 디지털서비스몰 등록

ㆍ네이버클라우드, 인증서 자동 관리 기능 ‘ACME’ 출시

ㆍSGA그룹, 창립 23주년..."AI 겨냥 통합 보안 강화"

마이클 셀리토 앤트로픽 글로벌 정책 총괄이 다음주 한국을 찾아 국가인공지능전략위원회와 면담을 갖고 AI 보안 협력 방안을 논의할 것이란 소식이다.

ㆍ앤트로픽 정책 총괄, 다음주 방한…AI전략위와 '미토스' 논의