2026년 9월 18일 (금).

핵심 요약

• Hacktron AI 팀이 OpenAI 포럼의 libheif 힙 버퍼 오버플로우 취약점과 OpenAI의 SSO 설정 결함을 연쇄 이용해 직원 계정을 탈취했다.
• Discourse 포럼이 ImageMagick을 통해 HEIF 이미지를 처리할 때 보안 백포트가 누락된 libheif가 노출돼 원격 코드 실행(RCE)이 가능했다.
• 탈취한 계정으로 OpenAI 내부 저장소에 접근할 수 있었으며, GitHub·Slack·이메일 등 연결된 외부 서비스까지 영향을 받을 수 있었다.

핵심 요약

• 리처드 스톨만은 9.11 테러 직후 미국 정부가 추진하는 감시 정책이 시민의 자유를 더 큰 위협에 빠뜨릴 수 있다고 지적했다.
• 얼굴 인식 소프트웨어 광범위 배포와 암호화 소프트웨어 백도어 강제 등의 방안이 제안되고 있으나, 이들은 테러 방지 효과가 불명확하면서도 감시를 확대하려는 정부 기관의 목표를 달성할 수 있다고 우려했다.
• 공항 수하물 검사 같은 제한적이고 기록을 남기지 않는 조치는 문제없으나, 전화·이메일·신체 이동에 대한 대규모 감시는 시민 자유를 본질적으로 훼손한다고 밝혔다.

핵심 요약

• 엔지니어링 백그라운드 없는 사람들이 AI 솔루션을 내세우고, 미디어도 기업들의 인위적 표현을 무비판적으로 수용하는 상황을 비판한다.
• AI 취약점 연구 프로젝트에 각 조직의 시니어 엔지니어들이 대규모로 투입되어 수천 개의 새로운 취약점을 발견했지만, 정보보안의 진짜 병목인 '패치 배포'는 여전히 해결되지 않았다.
• 차라리 자산 재고 관리, 자동화된 OS/애플리케이션 업데이트 인프라 구축, 공격 표면 파악 같은 기초 방어에 엔지니어들을 투입했다면 훨씬 효율적이었을 것이다.

핵심 요약

• CrowdSec이 지난 5월 발생한 GitHub 저장소의 소스코드 유출을 9월 16일 확인했다.
• 유출된 것은 300개 저장소(130개+ 공개 저장소 포함) 중 비공개 부분으로, SaaS 콘솔 소스코드와 AWS 루틴, 커넥터, 자동화 코드다.
• 고객 데이터, 로그인 정보, 개인정보(PII) 등은 유출되지 않았으며 영향은 CrowdSec 내부에 제한된다.

핵심 요약

• 휴대폰을 도난당한 후 2FA로 보호된 구글 계정에 접근할 수 없는 상황에 처했다.
• 계정 복구 옵션으로 제시되는 것은 도난당한 구 휴대폰 사용, 현재 휴대폰 사용, 12년간 미사용 중인 구 이메일 확인 등 모두 불가능한 조건뿐이다.
• 구글의 자동화된 계정 보안 시스템이 사람의 개입 없이 정상적인 복구 경로를 차단해 이메일, 은행 계좌, 드라이브 등 연동 서비스 접근도 불가능해진 상태다.