정보관리기술사/컴퓨터응용기술사/빅데이터분석/ADsP

AI 에이전트가 업무 수행을 넘어 금융거래·시스템 접근까지 맡으면서 AI Agent Identity가 새로운 보안·거버넌스 핵심 기술로 부상하고 있다. 사람과 AI의 신원을 분리하고 에이전트별 권한·자격증명·행동이력을 통제하는 것이 핵심이다.

■ 기사 핵심 요약

– AI Agent Identity는 에이전트별 고유 신원을 부여하고 Owner·Role·Permission·Credential을 관리하는 체계

– IBM·Microsoft는 단기 Credential, 최소권한, 활동 추적, 실시간 권한 회수 등 관련 기능을 제품화

– AI 에이전트가 독립적 업무 주체로 확대되면서 기존 IAM 관리 범위가 Human에서 에이전트 까지 확장

■ 기사 주요 내용 정리

◎ AI Agent를 독립된 신원으로 관리

– 어떤 Agent가 누구를 대신해 어떤 목적과 권한으로 행동하는지를 식별

– Agent ID와 Owner를 연결하고 Authentication·Authorization·Least Privilege 기반으로 System·Data·Tool 접근을 통제

→ 에이전트 생성부터 권한 부여·활동·변경·폐기까지 Identity Lifecycle 관리가 핵심

◎ 단기 자격증명과 실시간 통제

– 장기간 Credential을 사용하는 기존 계정보다 Short-lived Credential을 작업별로 발급

– 활동 종료 또는 이상행동 발생 시 권한을 만료·회수하고 Agent별 Activity Log를 기록

→ 공유 계정·과도한 권한·Agent 탈취에 따른 피해 범위를 축소

◎ IBM·Microsoft 적용 확대

– IBM Agent Identity는 Agent 등록·소유자·권한 관리와 HashiCorp Vault 연계를 통한 Credential 회수 지원

– Microsoft Entra Agent ID는 사람과 Agent Identity를 분리하고 데이터 유출 예방·네트워크 정책 적용을 검증

◎ AI 거버넌스의 필수 계층

– 가트너는 Agent Identity를 2027년 주요 전략 기술로 제시

– 기사에 따르면 2028년 포천 500대 기업의 평균 AI Agent 운용 규모가 15만개 이상으로 확대될 전망

→ 핵심 원칙은 Identity + Least Privilege + Short-lived Credential + Audit + Revocation

[에이전트 아이덴티티 개요]

기존 IAM과 비교

Agent Identity 주요 내용

민간투자형 SW사업 문턱 낮춘다…3.0 가이드 개정

과기정통부가 AI 등 빠른 기술 변화에 대응해 민간 자본과 기술을 공공 SW사업에 활용하는 민간투자형 SW사업 추진가이드 3.0 개정 방향을 공개했다. 핵심은 소규모 사업의 진입 문턱을 낮추고 임대형 사업의 협약·성과평가·재정 절차를 구체화하는 것이다.

■ 기사 핵심 요약

– 구축사업비 20억원 미만 사업의 적격성 조사 간소화와 정식 신청 전 사업계획 사전검토 지원

– 임대형 사업의 재정 요구, 성과평가, 정부지급금 차등, 표준실시협약 등 실무 절차 구체화

– 민간 선투자 후 수익형·임대형으로 회수하며 개발부터 운영·고도화까지 민간 기술·자본 활용 범위 확대

■ 기사 주요 내용 정리

◎ 민간투자형 SW사업 구조

– 「소프트웨어 진흥법」 제40조를 근거로 민간이 자금·기술을 선투자해 공공 정보시스템을 구축

– 수익형은 이용료·광고 등 사업수입으로, 임대형은 공공기관의 임대료·운영대가로 투자비를 회수

◎ 가이드 3.0 주요 변화

– 20억원 미만 소규모 사업의 적격성 조사 절차를 간소화하고 신청 전 사전검토 지원

– 임대형 사업의 한도액 요구, 성과평가위원회 운영, 평가항목, 정부지급금 차등 기준 등을 보강

– 표준실시협약과 비용 조정, 사업계획 변경 절차도 구체화

→ 2.0 사업 전주기 체계에서 절차 효율화와 실무 실행성 강화로 발전

◎ 공공서비스 적용 확대

– 공공시설 예약에 광고·리워드·지역상품의 거래를 결합하는 수익형 모델 검토

– 학습이력·디지털배지를 연계하고 민간이 선투자한 뒤 공공이 분할 지급하는 임대형 모델 검토

→ 가이드 3.0은 현장 의견을 반영해 2026년 12월 최종 배포 예정

[민간투자형 SW사업 추진가이드 3.0 현황]

[가이드 2.0 → 3.0 주요 변화]

스마트 글래스는 도수 렌즈를 장착해 일반 시력 교정용 안경처럼 사용할 수 있는 단계까지 발전했다.

다만 무게·배터리·개인정보 보호·사회적 수용성 문제로 인해 아직 기존 안경을 완전히 대체하기에는 한계가 있다는 평가다.

■ 기사 핵심 요약

– 레이밴 메타 등 일부 스마트클래스는 도수 렌즈 장착을 지원해 일상용 안경과 병행 가능

– 일반 안경보다 무겁고 배터리가 평균 3~5시간 수준이라 하루 종일 인공지능 기능을 사용하기에는 제약 존재

– 카메라·마이크·클라우드 전송에 따른 사생활 침해와 기밀정보 유출 위험이 가장 큰 확산 장애요인

■ 기사 주요 내용 정리

◎ 도수 렌즈 장착 가능

– 스마트클래스는 일반 안경과 유사한 구조로 제작돼 시력 교정용 렌즈 적용 가능

– 레이밴 메타는 처방전을 제출하면 도수 렌즈가 장착된 제품을 주문할 수 있도록 지원

◎ 무게·배터리 한계

– 일반 안경은 약 20~30g 수준인 반면 스마트 안경은 최대 80g에 달할 수 있어 장시간 착용 부담 증가

– 인공지능 기능 사용시간은 평균 3~5시간으로, 하루 종일 활용하려면 중간 충전 필요

→ 배터리가 소진돼도 안경 기능은 유지되지만 인공지능 기능은 사용할 수 없음

◎ 개인정보 보호가 핵심 문제

– 카메라뿐 아니라 오디오·실시간 번역 기능도 대화 내용을 외부 서버로 전송할 가능성이 있어 정보유출 우려 존재

– 법원·학교·기업 등에서 스마트클래스 착용을 제한하는 사례가 증가

– 메타는 일부 촬영 콘텐츠를 사람이 검토할 수 있다고 밝혀 데이터 처리와 프라이버시 논란도 지속

◎ 일상 안경 대체는 아직 제한적

– 기술적 기능은 빠르게 개선되고 있지만 착용 편의성과 개인정보 보호, 사회적 인식 문제가 남아 있음

→ 현재 스마트클래스는 기존 시력 교정용 안경의 완전한 대체보다는 보조적 스마트 디바이스에 가까운 단계

[스마트글래스 개요]

北 사이버 인해전술에 AI 가세…해킹 전 과정 고도화

북한 사이버 공격이 전산망 파괴와 정보 탈취를 넘어 가상자산 탈취·산업기술 확보·공급망 침투까지 확대되고 있다. 최근에는 AI를 표적 조사·피싱·악성코드 개발·침투 자동화에 활용하면서 공격 준비와 실행 속도를 높이는 양상이다.

■ 기사 핵심 요약

– 북한 사이버 공격은 전산망 마비에서 수조원대 가상자산 탈취까지 목적과 공격 대상을 지속 확대

– AI를 표적 분석·위장 신분·피싱 문서·악성코드·SW 공급망 공격에 활용해 기존 공격 생산성과 자동화 수준 강화

– 대응도 서버 중심 방어에서 MFA·최소권한·협력사 관리·개발환경 보호·제로트러스트 기반 다층 방어로 확대 필요

■ 기사 주요 내용 정리

◎ 전산망 공격에서 자산 탈취로 확대

– 2011년 농협 전산망 장애, 2013년 3·20 사이버테러, 2014년 소니픽처스·한수원 정보유출 등 파괴·정보수집 공격을 지속

– 2016년 방글라데시 중앙은행 8100만달러 탈취 이후 가상자산이 핵심 자금 확보 수단으로 부상

– FBI는 로닌 네트워크·바이비트·최근 바이낸스 사건 등을 북한 연계 조직 활동으로 지목

→ 공격 목적이 파괴 → 정보수집 → 금융·가상자산 탈취로 다변화

◎ 조직별 공격 목적 전문화

– 트레이더트레이터는 가상자산, 김수키는 외교·안보 정보, 안다리엘은 방산·항공우주·원자력 기술을 주요 표적으로 활동

– 탈취 자산은 체인 호핑·믹싱·DEX·필 체인 등을 통해 여러 지갑과 블록체인으로 분산돼 추적과 회수 난도가 증가

◎ AI를 공격 생산성 향상에 활용

– MS 분석에서는 북한 연계 조직이 AI에 공격 전체를 맡기기보다 기존 공격의 속도·효율을 높이는 도구로 활용

– AI로 맞춤형 피싱 문서를 대량 생성하고 악성코드·RAT·내부 이동 스크립트 제작과 수정까지 지원

– 개발자 SW 저장소와 AI 코딩 환경을 변조해 백도어를 삽입하는 공급망 공격 정황도 확인

◎ 방어 범위도 조직 전체로 확대

– 외부 서버뿐 아니라 임직원 계정·개발환경·협력업체 시스템까지 공격표면으로 관리 필요

– MFA·최소권한·이상 로그인 탐지·협력사 접근통제·개발환경 보호를 함께 강화

→ AI 기반 보안 자동화와 Zero Trust 기반 다층 방어로 공격자의 내부 이동과 피해 확산을 제한하는 것이 핵심

차세대 문자메시지 기술 RCS(Rich Communication Services)가 단순 알림·OTP 전달에서 AI 기반 예약, 쇼핑까지 지원하는 기업 메시징 플랫폼으로 확장되고 있다.

별도 앱 설치 없이 기본 메시지 앱을 활용할 수 있다는 점과 기업 인증·양방향 상호작용이 핵심 경쟁력으로 꼽힌다.

■ 기사 핵심 요약

– 전 세계 RCS 메시지는 하루 약 32억건, 도입 증가율은 올해 25%·내년 38% 전망

– AI 비서와 결합해 예약·쇼핑·업무처리를 지원하는 대화형 기업 메시징으로 발전

– 글로벌 확산을 위해 기기·통신망·국가 간 상호운용성·표준화·기업 인증 확보가 핵심 과제

■ 기사 주요 내용 정리

◎ SMS에서 대화형 메시징으로 전환

– RCS는 사진·영상·파일·선택형 답변·기업 인증을 지원하며 기본 메시지 앱에서 이용 가능

– IHG·유나이티드항공·네스프레소는 고객지원·항공편 재예약·상품 탐색·반복 쇼핑 등에 활용

◎ AI Agent와 결합

– AI가 고객 질문을 이해하고 업무를 처리하며 RCS는 기업과 고객을 연결하는 인증된 실행·소통 채널 역할

– SK텔레콤은 AI Agent가 예약·결제를 수행할 때 RCS로 사용자의 최종 승인을 받는 방식을 제안

→ AI 자율성을 확대하면서도 Human-in-the-Loop 형태 사용자 통제권 확보 가능

◎ 확산의 핵심은 상호운용성

– RCS 미지원 이용자에 대한 SMS 전환, 기기·통신사·국가 간 호환성 확보가 필요

– GSMA는 링크·복사·대화 제어 기능 등 Universal Profile 개선 추진

→ 향후 경쟁력은 기능 자체보다 표준화와 통신사업자·플랫폼 간 협력에 좌우될 전망

[RCS(Rich Communication Services)개요]

Universal Profile : 서로 다른 통신사·단말·OS 간 RCS 호환성을 보장하기 위한 GSMA의 공통 기술 표준

금융당국 보안점검에도 또 뚫려…美연준은 서드파티까지 감독

금융권 해킹이 본사 핵심망보다 외주 시스템·업무지원 웹 등 서드파티 접점을 우회하는 방식으로 확대되면서 기존 서면 중심 외주점검의 한계가 부각되고 있다. 기사에서는 미국 연준의 제3자 리스크 관리 방향을 사례로 들어 위험 기반·지속적 공급망 통제로의 전환 필요성을 제시한다.

■ 기사 핵심 요약

– 기존 금융권 외주관리가 보안서약·단말통제·연 1회 점검 등 정적 컴플라이언스 중심이라는 문제 제기

– 고위험 Cloud·AI·Core System 공급업체는 위험도에 따라 Continuous Monitoring하고 금융사가 최종 책임을 부담해야 한다는 방향

– 국내도 Zero Trust·SBOM·실시간 모니터링을 기반으로 외주 IT 공급망 전체를 관리하는 체계로 전환 필요

■ 기사 주요 내용 정리

◎ 공격 지점이 서드파티로 이동

– 공격자는 방어가 강화된 핵심 계정보다 대출모집인 시스템·외주 개발자용 웹·모바일 업무포털 등 상대적으로 관리가 약한 외부 접점을 활용

– AI 기반 침투도구와 웹 취약점을 이용해 권한 검증 허점을 지속적으로 탐색하는 공격 방식이 제시됨

◎ 제3자 리스크 관리 방식 변화

– 모든 공급업체에 동일한 점검표를 적용하기보다 위험도에 따라 관리 수준을 차등화

– Cloud·AI·핵심 외주사 등 중요 공급망은 일회성 점검이 아닌 실시간·지속적 감시 대상으로 관리

→ 외주 사용시, 보안·리스크 관리 책임은 금융회사에 유지

◎ 국내 금융 보안의 전환 방향

– 망분리와 연례 점검표 중심 체계에서 Zero Trust·공급망 통제·지속적 모니터링 중심으로 전환 필요

– 외주 SW·서비스 구성요소를 파악할 수 있도록 SBOM 관리와 공급업체 보안상태 지속 점검 필요

→ 핵심은 “외주업체를 점검했는가”가 아니라 “현재 위험을 지속적으로 통제하고 있는가”로 감독 기준을 바꾸는 것

인증 없이 서버 제어권을 탈취할 수 있는 PHP2Shell 공개 이후 정부와 보안업계가 경보 발령, 체크도구, WAF 차단 규칙 등을 잇달아 배포하고 있다. 다만 이러한 조치는 위험을 줄이는 보완책이며, 핵심 대응은 취약한 PHP 버전을 공식 보안 버전으로 신속히 업데이트하는 것이다.

■ 기사 핵심 요약

– CVE-2026-109618·109619는 CVSS 9.2의 PHP 엔진 RCE 취약점으로 로그인 없이 서버 명령 실행 가능

– 정부·KISA는 PHP 자산 파악, 긴급 패치, 서비스 재시작, 로그 점검·인증정보 교체 등 대응수칙 전파

– 진단 스캐너·WAF·IPS·가상패치가 확산됐지만 근본 해결책은 PHP 공식 업데이트이며 신규 취약점 점검도 필요

■ 기사 주요 내용 정리

◎ 정부·KISA 긴급 대응

– PHP 개발팀은 8.2.35·8.3.36·8.4.27·8.5.12를 배포했으며 PHP 8.1 이하는 공식 업데이트 대상에서 제외

– KISA는 약 2만8000개 CISO 신고기업과 주요정보통신기반시설 111곳에 긴급 전파

– 실제 서버 기준 PHP 사용현황 확인 → 노출 서버 우선 패치·재시작 → 로그 점검 → 인증정보 교체 순으로 대응 권고

◎ 추가 취약점과 개인정보 위험

– 24일 CVE-2026-115560이 기존 업데이트만으로 해결되지 않는 것으로 안내돼 별도 설정 변경과 Worker 재시작 권고

– 개인정보위는 PHP 침해 시 연결된 DB까지 접근할 수 있어 phpMyAdmin 외부 접근 제한과 DB 최소권한 적용을 강조

◎ 민간 보안업계 대응 확대

– PHP Guard 등 URL 기반 스캐너부터 서버·컨테이너·이미지까지 점검하는 도구가 잇달아 공개

– WAF·IPS·가상패치도 공격 패턴 차단에 활용되지만 설정 문제나 우회 가능성 때문에 공식 패치를 대체할 수 없음

→ 안랩은 패치 전 기준 국내 취약 추정 PHP 호스트가 약 11만건이라고 분석

◎ 핵심 대응 방향

– 외부 노출 서버뿐 아니라 외주·테스트 서버·관리화면·컨테이너 이미지까지 점검 범위에 포함

→ 자산 식별 → 패치 → 재시작 → 침해점검 → 인증정보 교체를 하나의 긴급 대응 절차로 운영하는 것이 핵심

구글 딥마인드, '피지컬 AI 두뇌' 월드모델 지니4 프리뷰 공개

구글 딥마인드가 최신 월드모델(World Model) 지니4를 연구용 프리뷰로 공개했다. 사용자의 행동과 프롬프트에 따라 화면과 소리를 실시간 생성하고, 제미나이와 결합해 영화·게임 제작은 물론 로봇 행동을 가상환경에서 검증하는 방향으로 활용 범위를 넓히고 있다.

■ 기사 핵심 요약

– 지니4는 사용자 입력에 따라 장면·오디오·대화·환경을 실시간 생성하는 상호작용형 월드모델

– 영화 촬영 구상·게임 프로토타입·교육·로봇 훈련 등에서 실제 제작·운영 전 시뮬레이션 도구로 활용 가능

– 제미나이가 작업을 계획·검증하고 지니4가 가상세계를 생성하는 구조로 AI Agent·Physical AI 검증환경으로 확장

■ 기사 주요 내용 정리

◎ 실시간 상호작용형 월드모델

– 완성 영상을 사용하는 방식이 아니라 이동·카메라 방향·날씨·인물 추가 등 사용자 입력에 맞춰 다음 장면을 실시간 생성

– 바람·파도·음악·대화 등 화면 상황에 맞는 오디오도 함께 생성하며 최대 2분 동안 장면 일관성을 유지

→ AI가 현실의 공간·시간·인과관계를 이해하고 결과를 시뮬레이션하는 World Model로 발전

◎ 영화·게임 제작 프로토타이핑

– 영화 제작자는 촬영 전 카메라 각도·조명·대사·인물 동작을 가상환경에서 비교 가능

– 게임 개발자는 코드 작성 전 공간·질감·상호작용 방식을 바꾸며 초기 아이디어를 탐색

→ 콘텐츠 제작의 기획→검증→시제품 제작 단계를 단축하는 도구로 활용 가능

◎ 제미나이와 결합한 로봇 시뮬레이션

– 제미나이가 목표를 단계별로 분해하고 지니4가 생성한 화면을 보며 진행상황을 확인·수정

– 휴머노이드 로봇 아폴로의 체커 게임 등 실제 로봇 투입 전 행동을 가상환경에서 시뮬레이션

→ AI 추론 + 월드 시뮬레이션 결합이 Physical AI와 로봇 학습의 핵심 구조로 확대◎ 한계와 향후 확대

– 장시간 실행이나 반복 수정 시 물체 위치·형태의 일관성이 떨어질 수 있으며 복잡한 물리현상·공간관계·텍스트 표현은 추가 개선 필요

– 향후 Google AI Ultra, Gemini API, AI Studio 파트너로 공개 범위를 확대하고 생성물에는 SynthID 적용 예정

[월드 모델/ LWM]

World Model = 세계를 이해·예측하는 모델

→ LWM = 이를 대규모·범용화한 모델

→ Physical AI = 이를 활용해 현실에서 행동하는 AI 시스템

위협 현실화…사이버 방어도 AI가 필수

인공지능이 취약점 탐색부터 공격 실행까지 자동화하면서 AI 사이버공격이 실제 기업 보안위협으로 확대되고 있다. 공격자의 시간과 비용은 줄어드는 반면 피해기업의 대응비용은 증가하면서 방어 역시 AI·자동화를 활용한 다층 보안체계로 전환해야 한다는 요구가 커지고 있다.

■ 기사 핵심 요약

– IBM 조사에서 악의적 침해사고 중 인공지능 활용 비중은 25%, 전년 대비 9%포인트 증가

– 인공지능 활용 데이터 유출 평균 비용은 600만달러, 반대로 AI·자동화 방어 조직은 비용 193만달러·대응기간 65일 감소

– ASM·CTEM·EDR/XDR·제로트러스트 등을 연결해 탐지→차단→내부 확산 예방의 다층 방어체계 구축 필요

■ 기사 주요 내용 정리

◎ AI가 공격 속도·규모 확대

– 인공지능이 취약점 탐색과 공격 실행에 필요한 시간·전문성을 낮춰 적은 자원으로 다수 기업을 동시에 공격할 수 있는 환경 형성

– 국내 금융권에서도 인공지능 기반 침투테스트 도구를 활용한 공격 정황이 확인되며 현실적 위협으로 부상

◎ AI 방어 도입 효과

– 보안 운영에 AI·자동화를 광범위하게 적용한 조직은 미적용 조직보다 비용이 평균 193만달러 감소

– 탐지·차단 시간도 65일 단축돼 대규모 보안정보 분석과 위협 선별에서 효과 확인

◎ 다층 방어체계로 전환

– ASM·CTEM·AI 침투검증으로 외부 노출 자산과 취약점을 선제적으로 탐색

– EDR·XDR과 AI 보안관제로 이상징후를 연계 분석하고, 제로트러스트·접근통제로 침투 이후 내부 확산을 제한

→ 특정 솔루션의 탐지율에 의존하기보다 여러 방어선을 구성해 공격자의 시간·비용을 높이고 피해 범위를 최소화하는 전략이 핵심

※ 인공지능 오탐이 정상 업무에 영향을 줄 수 있어 중요한 차단·조치에는 사람의 감독 병행 필요

[ICT시사용어] 그리드코드(Grid Code)

AI 데이터센터의 전력 사용량이 GPU 연산량에 따라 짧은 시간에도 크게 변하면서 기존 전력망 안정성에 새로운 부담으로 떠오르고 있다. 정부는 이에 대응해 AI 데이터센터 전용 그리드코드(Grid Code) 마련에 착수하고 ESS·UPS 등을 활용한 전력 변동 완화 방안도 검토하고 있다.

■ 기사 핵심 요약

– 그리드코드는 전압·주파수·전력품질 등 전력설비의 계통 접속·운영 기준을 정해 전력망 안정성을 확보하는 기술 기준

– AI 데이터센터는 1㎳ 단위로 MW급 전력 변동이 발생할 수 있어 별도 계통 대응 기준 필요성 확대

– 정부는 ESS·UPS 등을 활용한 변동 완화와 전용 기준을 검토하며, 향후 사업자의 설비·비용 부담에도 영향 예상

그리드코드 개념

■ 기사 주요 내용 정리

◎ 그리드코드의 역할

– 발전소·ESS 등 전력설비가 전력망에 연결될 때 필요한 성능과 운전조건을 규정

– 전압·주파수 변동 대응, 고장 발생 시 운전 유지 조건과 대응 절차 등을 포함

→ 핵심은 개별 설비의 안정성보다 전력계통 전체의 안정적 운영 확보

◎ AI 데이터센터가 새로운 적용 대상

– 대규모 GPU는 학습·추론 부하 변화에 따라 소비전력이 급격히 변동

– 정부에 따르면 AI 데이터센터에서는 0.001초 단위로 MW급 전력 변화가 발생 가능

→ 기존 발전설비 중심의 계통 기준을 대규모 전력 소비시설까지 확대할 필요성 부상

◎ 전용 기준과 대응 설비 검토

– 정부는 8월 AI 데이터센터 연구회를 출범해 국내 전력망 환경에 맞는 전용 그리드코드 마련 착수

– ESS와 무정전전원장치(UPS)를 활용해 급격한 전력 사용 변화를 완화하는 방안도 검토

→ 향후 기준에 따라 데이터센터 사업자의 추가 설비 투자·부지 확보·구축비용이 달라질 전망

Node2Shell은 Node.js가 사용하는 Brotli Decoder의 메모리 경계 처리 오류로 발생하는 런타임 계층 취약점이다. 조작된 Brotli 데이터가 취약한 Decoder까지 도달하면 서비스 장애와 메모리 손상은 물론 조건에 따라 원격코드실행(RCE)까지 이어질 수 있다.

◎ 공격 조건과 영향

– 단순히 Node.js 서버가 외부에 노출됐다고 공격되는 것은 아니며 조작된 Brotli 데이터가 실제 Decoder까지 도달해야 함

– node:zlib, 압축 Body 처리, fetch() 등 Brotli 해제 경로가 주요 점검 대상

– 영향은 Process Crash·DoS·Memory Disclosure 및 조건 충족 시 RCE

◎ 보안 업데이트와 대응

– 보안 버전은 22.23.4 / 24.22.1 / 26.12.1 이상

– 패치 전에는 Brotli 입력 차단을 임시 적용하고 외부 노출 Node.js·Container·API Runtime 버전을 우선 점검

→ Node2Shell과 PHP2Shell 모두 Application Security를 넘어 Runtime Security까지 관리 범위를 확대해야 한다는 점이 핵심

[참고]

“AI 무기 탑재한 북한 해킹조직 온다”…‘대공습 예고’ 초비상

치명적인 PHP 취약점 PHP2Shell을 활용해 한국을 포함한 주요국 정부·금융기관을 겨냥한 대규모 공격을 준비하는 정황이 포착됐다. 특히 폐쇄형 네트워크에서 한국어로 공격을 조율하고 AI로 공격 우선순위와 PoC를 검증한 흔적이 확인돼 대응이 강화되고 있다.

■ 기사 핵심 요약

– CYFIRMA가 I2P에서 라자루스 생태계와 연계된 것으로 분석되는 세력의 PHP2Shell 공격 준비 정황 포착

– 공격자는 공개 PoC와 AI 기반 분석·시뮬레이션을 활용해 정부·금융·제조·물류·항공 등 핵심 분야를 표적으로 선정

– 북한 연계 가능성이 제기됐지만 직접적 귀속은 확정되지 않았으며, 정부는 경보 발령과 긴급 패치 적용을 권고

■ 기사 주요 내용 정리

◎ PHP2Shell 기반 공격 준비

– CVE-2026-109618·109619는 인증 없이 조작된 웹 요청으로 원격코드실행(RCE)이 가능한 PHP Core 취약점

– 공격 세력은 공개된 공격코드를 수집하고 AI를 이용해 표적 우선순위 선정과 사전 검증을 수행한 것으로 분석

→ AI가 취약점 탐색과 공격 준비의 속도·자동화 수준을 높이는 수단으로 활용

◎ 핵심 인프라 중심 표적화

– 한국·미국·일본·호주의 정부기관과 금융기관이 우선 표적으로 거론

– 제조·물류·해운·공항·항공·온라인 거래 플랫폼까지 공격 대상에 포함

◎ 북한 연계 판단과 한계

– 한국어 지시, 라자루스 계열에서 사용해온 웹셸 전술, 정부·금융기관 중심 표적 등이 연계 정황으로 제시

※ 다만 라자루스 고유 악성코드나 인프라가 직접 일치한 사실은 기사에서 확인되지 않아 공격 주체 확정에는 신중할 필요

◎ 긴급 보안 대응

– PHP 개발팀은 10월 21일 긴급 패치를 배포했고 정부·KISA는 22일 관련 취약점에 ‘주의’ 경보 발령

→ 인터넷에 노출된 PHP 서버는 공격 여부와 관계없이 최신 보안 버전 적용과 침해 여부 점검을 우선 수행할 필요

🏆 139회 정보관리기술사 김재원, 묵묵히 그 자리를 지킨 사람

기술사 공부를 시작할 때,

화려한 필력부터 걱정하시나요?

여기서 점수가 갈립니다.

제가 기억하는 김재원 님은 언제나 그 자리에서,

조용히 자신의 몫을 다하던 멘티입니다.

처음부터 글씨의 가독성이 좋거나,

지면 구성이 일정했던 것은 아닙니다.

표현의 정돈과 형식의 일관성에는,

분명히 보완할 부분이 있었어요.

하지만 부족한 점을 마주하는 태도에는,

늘 한결같은 꾸준함이 있었습니다.

배운 것을 받아들이고 다시 써보며,

자신의 것으로 만들기 위해 최선을 다했습니다.

무엇보다 기억에 남는 것은 겸손함과 배려입니다.

함께하는 사람을 존중하면서도,

자신이 해야 할 일을 놓지 않는 모습이 인상 깊었습니다.

이번 합격후기에서 함께 나누고 싶은 것도,

바로 그 지점입니다.

눈에 띄는 장점만으로 설명하기보다,

부족함을 하나씩 채워 온 과정에 주목하고 싶습니다.

단번에 크게 뛰어오른 곡선은 아닙니다.

조금씩 쌓인 변화가,

마지막에 합격선으로 이어졌습니다.

저는 이 숫자에서 단순한 결과뿐 아니라,

그 사이를 묵묵히 버틴 시간을 함께 보게 됩니다.

이게 진짜 핵심입니다.

📚 기본과정, 낯선 내용을 따라가며 기초를 세우다

🔑 136회 준비: 2025년 2월~5월

처음 접한 기본과정은 쉽지 않았습니다.

교재에는 모르는 내용이 많았고,

다른 사람이 빠르게 메모하는 모습조차 낯설게 느껴졌습니다.

주어진 분량이 감당할 수 있는 수준인지,

생각이 들 때도 있었습니다.

그때 힘이 된 것은 앞서 준비한 사람들의 모습이었습니다.

선배들이 실제로 써내는 과정을 보며,

자신도 해볼 수 있다는 마음을 다졌습니다.

이 시기에는 기본적인 구성과 흐름을 익히고,

주요 토픽을 접하며 시간의 우선순위를 바꿔 갔습니다.

직장인 기술사 준비에서 확보한 시간을,

어디에 먼저 쓸지 정하는 일은 중요한 출발점입니다.

첫 시험에서는 수업에서 들어 본 문제가 눈에 들어왔습니다.

그러나 익숙함을 온전한 설명으로 옮기기에는,

아직 준비가 부족했습니다.

더 공부했으면 좋았겠다는 아쉬움을 남긴 채,

다음 회차를 준비했습니다.

✍️ 읽기 중심에서 직접 써내는 방식으로 바꾸다

🔑 137·138회 준비: 2025년 5월~2026년 2월

기본과정을 마친 뒤,

무식반에 합류하면서 방법을 바꿨습니다.

이전에는 교재를 읽고 시간을 보내면,

공부했다고 생각하기 쉬웠습니다.

심화과정에서는 그 방식만으로,

매주 주어진 문제를 소화하기 어려웠습니다.

그래서 도메인별 주간 출제 문제를 먼저 확인하고,

관련 부분을 찾아보는 순서로 전환했습니다.

무엇을 설명해야 하는지 정한 뒤 읽으니,

집중할 대상이 분명해졌습니다.

장소도 집에서 가까운 스터디카페로 옮겼습니다.

비용을 들여 마련한 공간에서,

정해진 시간을 더 집중해서 사용했습니다.

업무와 병행하는 만큼,

한 시간이라도 몰입할 수 있는 환경이 필요했던 것이죠.

50분 쓰기 역시 중요한 훈련이었습니다.

한 시간을 공부해도 실제로 표현할 시간을 남기려면,

조금 더 빠르게 읽고 연습해야 했습니다.

일일 점검과 피드백을 통해,

속도와 내용을 함께 다듬었습니다.

다만 빠르게 채우는 것만으로는 충분하지 않았습니다.

반복해서 쓰면서도 문장을 조금씩 줄이고,

핵심을 남기는 방향을 찾아갔습니다.

실제로 적용해보면 이 단계에서 실력이 확 올라갑니다.

🧠 ‘아는 것 같다’에서 ‘꺼내 쓸 수 있다’로

137회에서는 알고 있는 듯하지만,

명확하게 풀어낼 수 있는 주제가 많지 않았습니다.

읽은 경험과 시험장에서 꺼내 쓰는 능력 사이에,

분명한 간격이 있었던 것입니다.

이후 앞선 합격자의 경험에서 중요한 기준을 찾았습니다.

대략 아는 수준에 머무르지 않고,

도움 없이 인출할 수 있는지를 확인하기 시작했습니다.

키워드 암기에 더 시간을 썼고,

별도의 암기장을 만들었습니다.

잘 외워지지 않는 부분은 캡처해 메신저에 저장하고,

이동 중에도 수시로 확인했습니다.

138회에서는 분량을 부족하지 않게 채울 수 있었습니다.

하지만 내용의 깊이는 여전히 보완해야 했습니다.

익숙한 분야에 치우쳐 읽다 보니,

전체 범위를 고르게 다루지 못한 아쉬움도 있었습니다.

ISO 42001을 선택하지 못했던 일,

해설을 읽으며 CAT 2.0을 익숙한 개념과 연결하지 못했던 경험도 남았습니다.

가독성은 나아졌지만,

지식의 범위와 정확도를 함께 끌어올려야 했습니다.

제가 이 과정에서 짚고 싶은 기술사 공부법은 분명합니다.

읽은 내용을 확인하는 데서 멈추지 않고,

자료를 덮은 상태에서도 설명할 수 있는지 점검해야 합니다.

이 부분은 절대 놓치면 안 됩니다.

🚀 139회, 익숙해진 토대 위에서 부족한 곳을 채우다

🔑 2026년 2월~5월의 집중

시작한 지 1년이 지난 시점에는,

처음 세운 목표를 돌아보며 집중력을 높였습니다.

성실하게 Big&Up 과정을 따라오면서 교재의 여러 주제가 익숙해졌고,

이제 부족한 영역에 더 힘을 쏟을 수 있었습니다.

표현의 가시성은 주간 문제와 일일 쓰기를 통해 계속 다듬었습니다.

피드백을 반영한 답안 작성을 이어가고,

개인 회독과 토요일 활동으로 빠진 부분을 메우려 했습니다.

시험 당일 1교시를 마쳤을 때는 가능성을 느꼈지만,

2·3·4교시를 치른 뒤에는 다음 회차를 더 준비해야겠다는 마음도 들었습니다.

최선을 다했지만 결과에 대한 확신은 없었습니다.

60.08점이라는 성적에는,

수업에서 자주 쓰고 살펴본 토픽들이 힘을 보탰습니다.

익숙한 영역에서 확보한 점수가,

부족한 부분을 안정적으로 보완해 주었습니다.

반복해서 다뤄 본 경험이 실제 시험에서 의미를 가진 순간입니다.

🏃 꾸준함을 이어 준 구체적인 도구와 습관

✔️ 매일 확인하고, 주말에는 인출하기

일일 셀프테스트에서는 피드백을 받으며,

표현과 구조화 틀을 매일 점검했습니다.

토요일 활동은 단순한 참석 자체보다,

기억에서 꺼내는 연습 시간으로 활용했습니다.

모범 예시도 적극적으로 참고했습니다.

도형, 구성, 핵심어, 분량, 템플릿을 살피며,

필요한 부분을 자신의 연습에 가져왔습니다.

영어 공책에 쓰는 방식도 활용해,

부담 없이 반복할 수 있도록 했습니다.

✔️ 다시 볼 내용을 모은 서브노트

시험과 모의고사 전에 집중해서 확인할 내용을,

A5 크기 포스트잇에 정리했습니다.

반드시 알고 들어가야 할 사항을 골라 붙이고,

계속해서 내용을 갱신했습니다.

서브노트의 역할은 모든 내용을 옮겨 적는 데 있지 않았습니다.

마지막까지 확인할 대상을 모아두는 도구였습니다.

글씨가 반듯하지 않아도,

필요한 지식을 찾고 되짚는 기능은 충분히 할 수 있었습니다.

✔️ 도메인별 문제 모음과 반복 회독

132회부터의 주간 문제를 도메인별로 묶고,

중복과 누락을 줄이는 방향으로 정리했습니다.

교재를 읽기 전후에 활용했고,

시간이 부족한 금요일에도 빠르게 훑었습니다.

어디에서 무엇이 나올지 알 수 없기에,

반복 회독도 꾸준히 이어갔습니다.

특정 주제에 치우쳤던 경험을 돌아보며,

범위를 넓히려는 노력이었습니다.

✔️ 텔레그램으로 이동 시간을 연결하기

재확인할 토픽, 암기할 장표, 쓰기 기록 등을,

텔레그램 채널별로 모았습니다.

출퇴근길에 틈틈이 열어보며,

부족한 시간을 알차게 보충했습니다.

도구 자체보다 다시 볼 자료가,

항상 손에 닿는 곳에 있다는 점이 핵심입니다.

🌱 루틴을 함께 버틸 힘으로 연결하다

회사 업무와 종교 활동 외에는,

대부분의 시간을 기술사 준비에 배분했습니다.

특별한 이유를 기다리기보다,

하루하루 습관처럼 이어갔습니다.

어느 날의 큰 의욕보다,

지속할 수 있는 루틴이 중심에 있었습니다.

그 시간을 혼자서만 버틴 것은 아닙니다.

동료들과 서로 위로하고 토요일을 함께 보내며,

식사와 커피를 나누고 경험을 공유했습니다.

조장으로 함께한 시간에도,

고마움과 미안함을.. 결국은 자신의 몫을 다하려 했습니다.

아내와 아이들의 이해,

멘토들의 걱정과 조언·격려도 큰 힘이었습니다.

기술사의 세계로 이끌어 준 인연과 기본반 자기소개에서 다시 만난 기억,

교재 뒤 사진 속 선배들을 향한 동경도 여정에 함께했습니다.

찬양과 애니메이션·영화의 대사를 들으며,

흔들리는 마음을 다잡기도 했습니다.

수기의 시작에서는 하나님께 영광을 돌렸고,

끝에서는 함께해 준 사람들에게 감사를 전했습니다.

제가 기억하는 겸손함과 배려가 그 감사에도 담겨 있습니다.

🙏 멘토로서 전하고 싶은 말, 오늘의 최선을 이어가세요

김재원 님의 정보관리기술사 도전은,

시작부터 정돈된 글씨와 일정한 형식으로 완성된 과정은 아니었습니다.

읽는 순서를 바꾸고 공간을 옮기고,

외우고 직접 쓰며 부족함을 채워 왔습니다.

그 중심에는 늘 같은 자리에서,

최선을 다하는 태도가 있었습니다.

자신의 부족함을 인정하면서도 해야 할 일을 놓지 않았고,

함께한 사람들을 향한 감사도 잊지 않았습니다.

지금 표현이 매끄럽지 않더라도,

오늘 고칠 한 가지를 찾으셨으면 합니다.

읽었다면 직접 꺼내 써보고,

피드백을 받았다면 다음 지면에 반영해 보세요.

이 부분만 잡아도 결과가 많이 달라집니다.

저는 재원 님을 떠올리며,

조용히 이어 온 노력이 얼마나 묵직한 힘을 가질 수 있는지 다시 생각합니다.

139회 필기 합격을 진심으로 축하드립니다.

그 성실함과 배려가 앞으로의 길에서도,

좋은 바탕이 되기를 응원합니다.

10년 묵은 PHP 결함, AI가 뚫었다

PHP 핵심 런타임의 메모리 처리 결함을 이용해 인증 없이 서버에서 원격코드를 실행할 수 있는 PHP2Shell 취약점이 공개됐다. 특히 인공지능이 오랫동안 공격 가능성을 입증하지 못했던 결함을 단기간에 분석하면서 인공지능이 보안 연구와 공격 개발의 속도를 동시에 높이는 문제가 부각됐다.

■ 기사 핵심 요약

– CVE-2026-109618·109619는 PHP Core 메모리 처리 결함으로 인증 없는 RCE가 가능하며 CVSS 9.2 Critical로 평가

– Wiz는 인공지능 모델과 분석도구를 활용해 수개월 규모의 취약점 분석·공격 검증 작업을 약 일주일 만에 수행

– 패치 공개 전부터 공격 시도가 관측돼 시간 단위 패치 대응과 Runtime·CMS·Plugin 전체 취약점 관리 중요성 확대

■ 기사 주요 내용 정리

◎ PHP Runtime 자체의 치명적 결함

– OOM(Out of Memory)처리 과정의 Memory Corruption과 해제된 메모리를 재사용하는 Use After Free가 핵심 원인

– Application 취약점이 아니라 PHP 자체 문제여서 WordPress·Drupal·Joomla 등 상위 서비스도 영향 가능

→ 로그인·보안 기능 실행 전에도 공격 가능한 환경이 있어 영향 범위가 큼

◎ 인공지능이 취약점 발견 속도 가속

– Wiz는 자체 도구와 Gemini·GPT 계열 인공지능을 활용해 PHP 소스와 공격조건을 분석

– 기존에는 수개월이 필요했던 작업을 단기간에 수행하며 취약점 발견→PoC→공격 검증 속도를 크게 단축

→ 방어자의 연구 생산성은 높아졌지만 공격자의 진입장벽도 함께 낮아지는 Dual-use 위험 확대

◎ 대응 핵심은 즉시 패치

– PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 이상으로 업데이트하고 EOL 버전은 지원 버전으로 전환

– WAF·설정 변경은 임시 보완책이며 근본 대응은 Runtime 패치

→ 앞으로는 주·월 단위가 아닌 시간 단위 Patch SLA와 SBOM 기반 전 구성요소 관리가 중요

공정위, ‘AI 워싱’ 광고 기준 마련…가상후기·딥페이크도 판단 대상

■ 도입부

공정거래위원회가 인공지능 기술을 실제보다 과장하는 AI 워싱과 AI 생성 인물·후기 등을 활용한 광고의 판단 기준을 마련한다. 핵심은 인공지능 적용 여부뿐 아니라 적용 범위·작동 조건·성능 한계·근거 등을 소비자가 오인하지 않도록 명확히 표시하는 것이다.

■ 기사 핵심 요약

– 공정위가 AI 관련 표시·광고 가이드라인 초안을 마련해 4개 유형·16개 사례와 사업자 자가점검 기준 제시

– 단순 보조 기능을 전체 인공지능 기능처럼 광고하거나 작동 조건·성능 한계·시험 조건을 누락하면 부당광고 판단 가능

– AI 생성 인물·후기·딥페이크를 실제 전문가·소비자처럼 활용할 경우 거짓·과장·기만 광고 문제가 발생할 수 있음

■ 기사 주요 내용 정리

◎ AI 워싱 판단 기준 구체화

– 실제 학습·추론·판단 기능이 제품 기능에 활용되는지를 중심으로 AI 적용 여부 판단

– 제3자 AI 기술을 자체 개발한 것처럼 표현하거나 일부 기능만 AI인데 제품 전체가 인공지능으로 작동하는 것처럼 광고하는 행위도 점검 대상

◎ 작동 조건·성능 한계 표시

– 전용 앱 연동 등 특정 조건에서만 인공지능 기능이 작동한다면 해당 조건을 함께 안내

– 작은 물체 인식 제한 등 판단에 영향을 줄 수 있는 성능 한계도 표시 필요

– ‘최고·완벽’ 등 표현은 객관적 근거와 시험 조건을 제시해야 함

◎ AI 생성 광고·딥페이크 규제

– 가상 의료인·전문가·후기를 실제 인물의 의견처럼 제시하면 기만 광고가 될 수 있음

– 딥페이크로 실존 전문가를 사칭하거나 근거 없는 수익률을 강조하면 거짓·과장 광고까지 문제 가능

→ 인공지능 이미지·영상이 실제 제품·사용 결과로 오인될 가능성이 있으면 인공지능 활용 사실을 명확히 표시해야 함

◎ 자가점검과 향후 적용

– 공정위는 실제 인공지능 사용 여부·기술 출처·작동 조건·성능 입증 등을 확인하는 4단계 8개 항목 자가점검표 마련

– 가이드라인 자체는 법적 구속력이 없으며 실제 위법 여부는 표시광고법과 소비자 오인 가능성 등을 종합 판단

– 의견수렴 후 관계부처 협의를 거쳐 최종 가이드라인 확정 예정

가트너, 2027년 10대 전략 기술 발표

車부터 AI 가전까지 정보수집 확대…제품 검증·사후관리 '구멍'

커넥티드카·로봇청소기·스마트홈 카메라처럼 영상·위치·공간정보를 수집하는 IoT 기기가 빠르게 늘고 있지만 국내 보안인증과 사후관리 체계는 이를 충분히 따라가지 못하고 있다. 특히 인공지능 분석과 플랫폼 연계가 확대되면서 제품 제조사뿐 아니라 플랫폼·클라우드까지 포함한 책임체계가 새로운 과제로 떠올랐다.

■ 기사 핵심 요약

– 커넥티드카·AI 가전이 영상·좌표·공간정보까지 수집하면서 IoT 보안 위험과 정보유출 영향 확대

– 최근 5년간 국내 IoT 보안인증은 약 450건, 가전 분야는 10건에 그쳐 자율인증 중심 제도의 실효성 한계

– 제조사·플랫폼·AI 분석사업자가 연결되는 구조로 발전하면서 최소 보안기준·의무인증·사후관리·책임분담 필요성 증가

■ 기사 주요 내용 정리

◎ IoT 기기의 정보수집 범위 확대

– 커넥티드 차량은 카메라·LiDAR·GPS로 영상과 위치·공간정보를 동시에 수집하고 외부망과 연결

– 로봇청소기·스마트홈 카메라도 사람·사물·행동·집안 구조까지 인식하면서 수집 정보의 민감도 증가

→ 국가보안시설이나 주요 공간 정보가 유출될 경우 단순 개인정보를 넘어 시설 위치·구조·장비 배치 정보까지 노출될 가능성

◎ 현행 IoT 보안인증의 한계

– 국내 IoT 보안인증은 제조·수입업자가 신청하는 자율인증 방식으로 미인증 제품도 일반 판매 가능

– 최근 5년간 인증 약 450건 가운데 가전 10건, 통신 분야 7건에 불과

– 2020년 정보통신망법에 제조·수입업자 보호조치 규정이 마련됐지만 최소 보안기준·개선명령·사후관리 절차는 미흡

◎ AI·플랫폼 확산으로 책임구조 복잡화

– SmartThings·Google Home·Apple Home과 Matter 등으로 서로 다른 제조사의 기기와 서비스가 연결

– 기기 제조사/플랫폼 운영사/AI 영상분석 사업자가 다르면 개인정보 처리와 사고 대응 책임이 복잡해질 수 있음

– 온디바이스 AI와 외부 클라우드 분석은 정보유출 위험과 관리 방식도 서로 다름

◎ 위험도 기반 보안체계 필요

– EU는 사이버복원력법(CRA)을 통해 디지털 제품의 보안요건과 제조사 취약점 관리 책임을 강화

– 국내에서도 IoT 전반의 최소 보안기준을 마련하고 개인정보·사회적 피해 위험이 큰 제품부터 단계적으로 인증을 의무화하는 방안 제시

→ 인공지능 가전 시대의 보안은 제품 출시 시점의 인증만이 아니라 개발→판매→업데이트→취약점 대응까지 전 생애주기 관리가 핵심

Gartner 2027 전략 기술 개요

- 인공지능이 단순한 텍스트 생성과 업무 지원을 넘어 수치·음성·물리세계를 이해하고 자율적으로 판단·행동하는 단계로 발전함에 따라 필요한 기술과 통제 체계를 제시

- 핵심은 비텍스트 AI 확장, 자율형 AI Agent 거버넌스, 지속 가능한 IT Architecture 확보

2025년 ~ 2027년 변화 요약

Gartner 2027 세 가지 큰 주제 / 전략

Gartner 2027 전략별 기술요소

Leverage the Nontextual AI Frontier

(비텍스트 인공지능 프론티어 활용)

Govern the Autonomous Agent Platform

(자율형 에이전트 플랫폼 거버넌스)

Architect Durable Agility

(지속 가능한 민첩성 설계)

시사점

기존 정보시스템 감리만으로는 생성형 AI 특유의 위험을 충분히 확인하기 어려워, 이를 보완하기 위해, 기준을 대체하는 의무 지침이 아니라, 생성형 AI 관점을 추가하는 실무 자료

배경 및 목적

▣ 배경

• 인공지능 사업 확대: 공공·민간의 생성형 인공지능 기반 정보화사업 증가
• 기존 감리의 한계: 기존 지침으로는 생성형 AI의 기술적 특성과 위험 확인 어려움
• 제도 환경 변화: 인고지능 관련 법·제도 및 공공부문 인공지능 도입·활용 지침에 대응하는 준 필요
• 인공지능 고유 위험 대응: 데이터 검증 한계, 모델 검증 제약, 성능의 비결정성 등 기존 정보시스템과 다른 접근 필요

▣ 목적

• 실무 점검체계 마련: 인공지능 서비스 구축 사업의 감리 현장에서 활용할 기준과 항목 제공
• 인공지능 감리 표준화: 국제표준과의 정합성 및 생명주기 기반 절차 구체화
• 위험 중심 검증 강화: 산출물 확인을 넘어 데이터 수집·처리 과정, 모델 평가 및 위험 통제의 적정성 확인 필요
• 운영 신뢰성 확보: 환각·오답 대응, 성능 저하 감지, 재학습 기준 및 법·제도 준수 여부 확인

▣ 인공지능 사업 특유의 위험과 접근방안

적용 범위 및 대상

▣ 적용 대상 및 사용자

• 적용 대상: 생성형 AI 기술이 적용된 공공·민간 정보화사업의 감리
• 주요 사용자: 감리법인 및 감리원
• 활용 사용자: 사업 준비·수행 과정에서 기준을 사전 확인하려는 발주기관 및 사업자

▣ 적용 범위

감리 점검 프레임워크

AI 감리 점검 프레임워크

- 생성형 AI 정보화사업의 항목을 감리영역·감리단계·AI 신뢰성 관점의 세 축으로 체계화한 체계

• 기존 감리체계 준용: 현장 연속성과 실무 적용성을 위해 기존 정보시스템 지침의 단계·영역 체계 활용
• AI 특성 반영: 기존 체계에 생성형 AI의 생명주기와 기술영역을 연결하여 점검 관점 보완

- AI 기술영역을 기존 체계 안에서 점검할 수 있도록 연결

감리영역별 주요 점검 내용

① 주요 점검 내용

② 영역 × 단계별 점검 가이드 분포

※ 요구정의~전개는 시스템 구축 단계, 착수·실행통제·종료는 사업관리 단계

영역별 상세 점검 내용

개별 점검 가이드 195건, 141개 점검항목

2027년부터 매출액과 관계없이 코스피·코스닥 전체 상장사가 정보보호 투자와 인력, 보안활동 현황을 공개해야 한다. (정보보호산업법 제13조)

기존 예외였던 공공기관·금융회사·전자금융업자와 ISMS 인증 의무대상까지 범위가 확대되면서 기업의 보안투자 수준이 보다 투명하게 공개된다.

■ 기사 핵심 요약

– 기존 상장사 매출 3000억원 기준을 폐지하고 모든 상장사로 정보보호 공시 의무 확대, SPAC은 제외

– ISMS 의무대상을 추가하고 공공기관·금융회사·전자금융업자 등의 기존 예외 규정을 삭제

– 개정 시행령은 2027년 1월 1일 시행, 소기업은 준비기간을 고려해 2029년부터 적용

■ 기사 주요 내용 정리

◎ 정보보호 공시 대상 대폭 확대

– 정보보호 투자액/전담인력/보안 인증·평가·점검 등 기업의 보안활동을 공개하는 제도

– 기존 매출 3000억원 이상 상장사 중심에서 코스피·코스닥 전체 상장사로 확대

– ISMS 인증 의무대상도 새롭게 포함하고 기존 공공·금융 분야 예외 규정 삭제

◎ 이용자 수 산정 기준 변경

– 기존 전년도 말 직전 3개월 일일평균 이용자 수에서 전년도 전체 기간 일일평균 기준으로 변경

→ 단기간 이용자 변동보다 연간 이용 규모를 반영해 공시 대상 판단

◎ 시행 일정과 기업 영향

– 시행일은 2027년 1월 1일, 소기업은 2029년 1월 1일부터 적용

– 신규 대상 기업의 부담 완화를 위해 공시 가이드라인 개정과 컨설팅·교육 지원 예정

→ 기업별 정보보호 투자·인력 수준 비교가 가능, 보안투자 확대를 유도하는 방향

[정보보호 공시제도 기존·변경 비교]

[ICT시사용어] 메모리 병목

메모리 병목(Memory Bottleneck)은 CPU·GPU 연산 속도에 비해 메모리의 데이터 공급 속도와 대역폭이 부족해 전체 시스템 성능이 제한되는 현상이다.

AI 시대에는 Weight·Activation·KV Cache 등 대규모 데이터 이동이 늘면서 단순 연산 성능보다 메모리 대역폭·지연시간·데이터 이동 효율이 중요해지고 있다.

■ 기사 핵심 요약

– 지난 20년간 서버 연산성능은 6만배, 메모리 대역폭은 100배 증가에 그쳐 Memory Wall 심화

– LLM 학습·추론에서는 대규모 데이터 이동으로 Bandwidth·Latency·Capacity 병목이 동시에 발생

– HBM·PIM·CXL과 Cache·Prefetching 등을 통해 대역폭 확대와 데이터 이동 최소화가 핵심 대응 방향

■ 기사 주요 내용 정리

◎ 메모리 병목의 구조

– 폰 노이만 구조에서는 연산장치와 메모리가 분리돼 데이터가 지속적으로 이동

– 데이터 공급이 연산속도를 따라가지 못하면 Memory Stall이 발생해 CPU·GPU 활용률이 낮아지고 전력 소비도 증가

◎ AI 시대 병목 심화

– LLM은 Weight·Activation·KV Cache를 반복적으로 읽고 써야 해 메모리 성능이 학습·추론 속도를 좌우

– 병목은 전송량 부족인 Bandwidth, 접근 지연인 Latency, 저장공간 부족인 Capacity 형태로 발생

◎ 메모리 중심 최적화 확대

– HBM은 대역폭을 확대하고, PIM은 메모리 내부·인접 연산으로 데이터 이동을 줄이며, CXL은 메모리 확장·Pooling·Sharing을 지원

→ AI 시스템 경쟁의 핵심이 단순 GPU 성능에서 메모리 계층 전체의 데이터 이동과 접근 효율 최적화로 확대

만드는 법 몰라도 AI가 프로그램 재현…'REA' 뭐길래

오픈소스 AI 역설계 도구 REA(Reverse Engineer Anything)가 기존 SW의 작동 원리를 분석하고 유사 기능 구현까지 지원하며 주목받고 있다. 코덱스·클로드 코드와 기존 분석도구를 연결해 전문 역설계 작업을 자연어 기반으로 수행하도록 돕는 것이 핵심이다.

■ 기사 핵심 요약

– REA는 소스코드가 없는 프로그램을 분석해 기능·내부 처리 구조를 추적하고 AI 코딩도구와 연계해 유사 기능 개발 지원

– 게임·노션 등 실제 분석 사례가 공개됐고 깃허브 스타가 32만개 이상으로 급증하며 개발자 관심 확대

– 상용 소프트웨어 대체 가능성이 거론되지만 분석 오류·서버 기능 한계·저작권 침해 위험 등 제약도 존재

■ 기사 주요 내용 정리

◎ AI 기반 역설계 자동화

– 기존에는 Ghidra·Hopper 등 전문 도구 활용 역량이 필요했지만 REA는 Codex·Claude Code와 연결해 자연어로 분석 작업 수행

– 프로그램 내부 코드를 추적한 뒤 분석 결과를 새로운 소프트웨어 구현에 활용하는 구조

◎ 실제 SW 분석·재구현 사례

– DX-Ball의 음향 계산 기능을 분석해 C언어로 재작성하고 3205개 테스트에서 동일 결과 확인

– 노션의 클립보드 처리 과정과 고전 게임 기능도 분석·재현

→ AI가 기존 소프트웨어의 동작 원리 이해→코드 재구현 과정을 빠르게 지원

◎ 소프트웨어 산업 영향과 한계

– AI 코딩으로 포토샵·오피스와 유사한 무료 프로그램이 등장하면서 기존 구독형 소프트웨어와의 경쟁 가능성 제기

– 다만 서버 측 기능은 분석하기 어렵고 AI가 만든 코드의 오류 가능성도 존재

※ 보호받는 코드·자산을 무단 복제하면 저작권 침해 문제가 발생할 수 있어 분석 결과의 검증과 합법적 활용 필요

[REA(Reverse Engineer Anything) 개요]

공공 최대어' 시도새올, 상용 SW 분리발주한다

행정안전부가 공공 최대 정보화 사업으로 꼽히는 차세대 지방행정공통시스템(시도새올) 구축에서 상용 소프트웨어를 별도 분리발주하기로 했다.

제품 자체의 기술력과 금액을 직접 평가할 수 있어 제값받기와 국산 제품의 공공시장 참여 확대가 기대된다.

■ 기사 핵심 요약

– 총 2857억원 규모 시도새올 사업에서 상용SW를 별도 발주하며 관련 예산은 최대 800억원대로 추정