2026년 9월 18일 (금).

핵심 요약

• Hacktron AI 팀이 OpenAI 포럼의 libheif 힙 버퍼 오버플로우 취약점과 OpenAI의 SSO 설정 결함을 연쇄 이용해 직원 계정을 탈취했다.
• Discourse 포럼이 ImageMagick을 통해 HEIF 이미지를 처리할 때 보안 백포트가 누락된 libheif가 노출돼 원격 코드 실행(RCE)이 가능했다.
• 탈취한 계정으로 OpenAI 내부 저장소에 접근할 수 있었으며, GitHub·Slack·이메일 등 연결된 외부 서비스까지 영향을 받을 수 있었다.
• 발견부터 OpenAI 측 수정까지 72시간이 소요됐으며, OpenAI는 $6,500 버그바운티를 지급했다.
• Discourse도 HackerOne을 통해 동시에 보고받았으며 이미지 처리 샌드박싱을 추가해 방어했다.
• libheif는 Slack, Meta, GitHub Enterprise, Next.js 등 광범위한 소프트웨어에서 사용되고 있으며, HEIF 형식 이미지를 처리하는 대부분의 애플리케이션이 영향을 받을 가능성이 있다.

핵심 요약

• 리처드 스톨만은 9.11 테러 직후 미국 정부가 추진하는 감시 정책이 시민의 자유를 더 큰 위협에 빠뜨릴 수 있다고 지적했다.
• 얼굴 인식 소프트웨어 광범위 배포와 암호화 소프트웨어 백도어 강제 등의 방안이 제안되고 있으나, 이들은 테러 방지 효과가 불명확하면서도 감시를 확대하려는 정부 기관의 목표를 달성할 수 있다고 우려했다.
• 공항 수하물 검사 같은 제한적이고 기록을 남기지 않는 조치는 문제없으나, 전화·이메일·신체 이동에 대한 대규모 감시는 시민 자유를 본질적으로 훼손한다고 밝혔다.
• 부시 대통령에게 무한 군사력 행사 권한을 부여하는 결의안이 서둘러 통과되고 있으나, 베트남 전쟁 교훈처럼 구체적 조치에 대한 의회의 감시가 필수적이라고 강조했다.
• 스톨만은 시민들에게 선출직 의원과 대통령에게 시민 자유 보호를 요구할 것을 촉구했으며, 관련 법안이 이미 작성 중이므로 지연하지 말 것을 당부했다.

핵심 요약

• 엔지니어링 백그라운드 없는 사람들이 AI 솔루션을 내세우고, 미디어도 기업들의 인위적 표현을 무비판적으로 수용하는 상황을 비판한다.
• AI 취약점 연구 프로젝트에 각 조직의 시니어 엔지니어들이 대규모로 투입되어 수천 개의 새로운 취약점을 발견했지만, 정보보안의 진짜 병목인 '패치 배포'는 여전히 해결되지 않았다.
• 차라리 자산 재고 관리, 자동화된 OS/애플리케이션 업데이트 인프라 구축, 공격 표면 파악 같은 기초 방어에 엔지니어들을 투입했다면 훨씬 효율적이었을 것이다.
• AI 기업들은 규제를 외치면서도, 실제로는 주주 이익과 경쟁 압박으로 위험한 제품 개발을 멈출 의도가 없다.
• 데이터센터의 거대한 환경 오염(물 낭비, 화석연료 사용)도 문제지만, 각 조직의 한정된 인력이 AI 프로젝트에 분산되면서 협업이 필요한 기본 보안 작업이 미루어지고 있다.

핵심 요약

• CrowdSec이 지난 5월 발생한 GitHub 저장소의 소스코드 유출을 9월 16일 확인했다.
• 유출된 것은 300개 저장소(130개+ 공개 저장소 포함) 중 비공개 부분으로, SaaS 콘솔 소스코드와 AWS 루틴, 커넥터, 자동화 코드다.
• 고객 데이터, 로그인 정보, 개인정보(PII) 등은 유출되지 않았으며 영향은 CrowdSec 내부에 제한된다.
• 유출 원인은 Mistral AI 사건과 유사하게 Tanstack 컴포넌트 침해로 추정되며, 이를 통해 API 키가 탈취돼 비공개 저장소 읽기 접근이 가능했다.
• 4개월간 코드가 크게 진화했고, CrowdSec은 네트워크 효과와 규모 에 의존하므로 코드 유출만으로는 실질적 피해가 제한적이며 모든 토큰과 자격증명을 즉시 교체했다.

핵심 요약

• 휴대폰을 도난당한 후 2FA로 보호된 구글 계정에 접근할 수 없는 상황에 처했다.
• 계정 복구 옵션으로 제시되는 것은 도난당한 구 휴대폰 사용, 현재 휴대폰 사용, 12년간 미사용 중인 구 이메일 확인 등 모두 불가능한 조건뿐이다.
• 구글의 자동화된 계정 보안 시스템이 사람의 개입 없이 정상적인 복구 경로를 차단해 이메일, 은행 계좌, 드라이브 등 연동 서비스 접근도 불가능해진 상태다.
• 사용자는 2FA 폐지나 인증 구제 절차 같은 해결책이 존재하는지, 또는 비밀번호 기반 로그인 같은 대안이 있는지 묻고 있다.