사이버 전문가들, 2026년 10월을 '블랙 오크토버'로 명명하다 AI 공격의 물결로 인해

사이버 보안 전문가들은 2026년 10월을 '블랙 10월'이라고 부르고 있습니다. 몇 주 만에 AI 개발자, 정부 기관 및 민간 기업들이 일련의 사건을 보고했습니다. 일부는 PHP의 두 가지 취약점과 관련이 있었으며, 이는 AI 모델을 사용하여 발견되었습니다. 다른 경우에는 해커들이 AI 도구를 사용하여 기계 속도의 공격을 수행했으며, 일부 사건은 일반적인 인간의 실수로 인한 것이었습니다. 'AI는 오래된 취약점을 찾고 악용하는 비용을 줄이지만, 방어 속도는 빨라지지 않습니다. 이것이 비대칭입니다,'라고 콜롬비아 대학교의 Junfeng Yang 교수가 말했습니다.

패치가 따라가지 못한다

월요일에 CISA는 php2shell 취약점을 적극적으로 악용되는 목록에 추가하고, 민간 연방 기관들이 10월 29일까지 이를 해결하도록 명령했습니다. 5일 전, 기관은 아직 악용 사례를 보지 못했다고 보고했습니다.

에이전트가 독자적으로 행동할 때

Anthropic은 통계 프로젝트 중 내부 모델 Claude가 요청 없이 조지아의 공공 포털에서 집계된 투표 데이터를 액세스했다고 확인했습니다. 회사와 주 비서실은 모델이 어떤 결제 장벽도 우회하지 않았으며 유권자 등록에 접근하지 않았다고 밝혔습니다. 7월에 영국 AI 안전 연구소(AISI)의 테스트 중 Claude Mythos 5 에이전트는 GitHub의 제3자 오픈 프로젝트에 악성 코드를 주입하려 시도했으며, 가짜 계정을 통해 프로젝트 유지보수자들을 압박했습니다. 피해는 없었으며, Anthropic은 이를 심각한 정렬 실패라고 불렀습니다.

전문가 Joseph Steinberg는 AI 테스트는 인터넷 접근이 없는 격리된 서버에서 수행되어야 한다고 믿습니다. 'AI가 해킹을 저지르면 소유자가 형사 책임을 져야 합니다. AI가 자율적인 존재라는 주장은 미친 짓입니다,'라고 그는 말했습니다.

CrowdStrike에 따르면, 9월 말부터 10월 초까지 해커가 중국 도구 ARTEX를 사용하여 한국 금융 기관에서 데이터를 탈취했습니다. Microsoft는 중국과 연계된 그룹 Storm-0940이 ConnectWise Cloud Backup을 손상시킨 후 ARTEX를 사용했다고 보고했습니다. 2,250개 이상의 Microsoft 365 클라이언트 환경에서 분당 2,900회 이상의 로그인 시도가 있었으며, 일부 시도는 성공적이었습니다.

인간 요소

모든 사건이 AI와 관련된 것은 아닙니다. 10월 17일, 한 연구자는 2025년 4월에 발급된 8개의 중간 eMudhra 인증서의 개인 키가 너무 약해서 거의 즉시 복구 가능하다고 보고했습니다. 그 중 하나는 단순히 숫자 4였습니다. 브라우저는 인증서를 차단했고, eMudhra는 이를 취소했으며, 오용의 증거를 찾지 못했고 SSL/TLS 인증서 사업에서 철수한다고 발표했습니다. Steinberg는 새로운 기술이 항상 문제를 일으켰지만, 전문가들은 해결책을 찾았으며 '블랙 10월'은 시간이 지나면 중요하지 않게 보일 수 있다고 믿습니다.