Security — 관련 콘텐츠 48건

OWASP LLM Top 10과 에이전트 앱 보안: 프롬프트 인젝션부터 도구 권한까지

OWASP Top 10 for LLM Applications 2025와 2026년판 에이전트 보안 프레임워크(ASI)를 한 글에 정리합니다. 직접·간접 프롬프트 인젝션, 시스템 프롬프트 유출, 과도한 에이전시와 도구 권한, 안전하지 않은 출력 처리, 공급망 위협의 정의와 방어를 다룹니다. 클로드 코드·챗지피티 API로 에이전트를 만들 때 놓치기 쉬운 MCP 도구 권한 우회와 최소 권한 설정을 1인 개발자 운영 경험으로 풀었습니다.

SKT·EU 양자암호 공동 개발 — QKD·포스트 양자 암호화가 개발자에게 미치는 영향

SK텔레콤이 아시아 민간기업 최초로 EU 호라이즌 유럽 연구기금으로 QPIC-AI 기반 양자키분배(QKD) 개발에 참여합니다. QKD와 포스트 양자 암호화(PQC) 차이, NIST 표준 3종(ML-KEM·ML-DSA·SLH-DSA), '지금 저장해서 나중에 복호화' 위협, TLS 1.3 업그레이드·암호화 인벤토리·하이브리드 암호화 등 개발자 실전 준비 가이드까지 정리했습니다.

티빙 개인정보 유출 사고 — 과기부 민관합동조사단 구성과 OTT 보안 설계 체크리스트

2026년 6월 2일 OTT 서비스 티빙에서 이용자 DB 비인가 접근으로 아이디·이름·생년월일·CI·DI·휴대폰 번호·비밀번호 등이 유출됐다. 과기정통부와 KISA는 민관합동조사단을 구성해 집중 조사에 나섰다. 유출 항목별 위험도 분석, 침해사고 72시간 대응 절차, 개인정보보호법 신고 의무, OTT 서비스 보안 아키텍처 체크리스트를 정리했다.

앤트로픽 프로젝트 글래스윙 — KISA·삼성·SK하이닉스가 클로드 미토스로 사이버보안에 나선 이유

앤트로픽이 AI 사이버보안 협력 프로그램 프로젝트 글래스윙을 15개국 150개 기관으로 확대하면서 한국이 합류했다. KISA·삼성전자·SK하이닉스·SKT가 클로드 미토스로 핵심 코드베이스 취약점을 탐색한다. 이미 1만 건 이상의 치명적 취약점이 발견됐다. 미토스가 일반 보안 AI와 다른 점, 반도체 공급망 보안의 의미, 개발팀이 지금 적용할 수 있는 AI 보안 감사 도구를 정리했다.

섀도우 AI 완전 분석 — 직원 78%가 회사 몰래 쓰는 이유와 기업 보안 대응 전략

섀도우 AI(Shadow AI)는 직원 78%가 회사 미승인 AI 도구를 업무에 쓰는 현상이다. 보안 사고 평균 $67만 추가 비용, EU AI 법 2026년 8월 발효 위험, 데이터 유출·규제 위반·할루시네이션 기반 의사결정 3대 위험, AI 사면 전략, 개발팀 AI 거버넌스 체크리스트, 커서·클로드 코드 업무 활용 보안 기준까지.

오픈AI GTAC 완전 분석 — GPT-5.5-Cyber, 한국 세 번째 가입, 보안팀 활용 가이드

2026년 5월 27일, 오픈AI 최고전략책임자(CSO) 제이슨 권(Jason Kwon)이 서울을 방문해 'Korea Cyber Action Plan' 을 발표했다. 핵심은 한국이 오픈AI의 GTAC(Government Trusted Access Collaboration) 프로그램에 미국·캐나다에 이어 세 번째로 가입했다는 것이다.

개발자를 위한 암호화 기초 — 해시, 대칭키, 비대칭키

한 줄 요약: 비밀번호는 bcrypt로 해시, 데이터는 AES로 암호화, 서명과 키 교환은 RSA/ECDSA — 각 도구가 해결하는 문제가 다르다. 상황에 맞는 암호화를 써야 한다. 암호화를 잘 몰라도 개발은 가능하다. 하지만 잘못된 암호화는 아예 안 하는 것보다 더 위험하다. MD5로 비밀번호를 해시하거나 ECB 모드로 AES를 쓰는 것처럼 — 겉으로는 암호화처럼 보이지만 실제로는 무방비 상태다. 이 글은 해시, 대칭키, 비대칭키 암호화를 개발자 관점에서 실용적으로 정리한다.

SQL Injection 방어 실전 가이드

한 줄 요약: SQL Injection은 사용자 입력이 SQL 쿼리의 일부로 해석될 때 발생한다. Prepared Statement를 쓰면 원천 차단된다. SQL Injection은 1990년대부터 알려진 공격이지만 2026년 현재도 OWASP Top 10에 포함될 만큼 여전히 실제로 발생한다. 이유는 단순하다 — 구현이 쉽고, 한 줄 실수로 전체 데이터베이스가 노출된다. 이 글에서는 공격 원리를 정확히 이해하고, 코드 레벨에서 방어하는 방법을 예시와 함께 정리한다.

CORS 완벽 이해 — 왜 차단되고 어떻게 해결하나

한 줄 요약: CORS는 브라우저가 다른 출처의 리소스 요청을 제한하는 보안 정책이다. 서버가 올바른 헤더를 응답에 포함해야만 브라우저가 응답을 허용한다. 개발하다 보면 반드시 한 번은 마주치는 에러가 있다. Access to XMLHttpRequest at 'http://api.example.com' from origin 'http://localhost:3000' has been blocked by CORS policy . 이 에러가 뜨는 이유가 뭔지, 어디서 무엇을 고쳐야 하는지 정확...

JWT vs 세션 인증 — 무엇을 선택할 것인가

한 줄 요약: JWT는 무상태 확장에 유리하고, 세션은 즉시 무효화와 서버 제어에 유리하다. 어떤 서비스를 만드느냐에 따라 정답이 갈린다. 로그인 기능을 구현할 때 가장 먼저 마주치는 결정이 있다. JWT를 쓸 것인가, 세션을 쓸 것인가. 두 방식은 각자 장단점이 뚜렷하고, 잘못 선택하면 나중에 바꾸기 어렵다. 이 글에서는 구조적 차이, 보안 특성, 실무 선택 기준을 정리한다.

API 보안 체크리스트 2026

한 줄 요약: API 보안은 인증 하나로 끝나지 않는다. OWASP API Top 10 기준으로 체크리스트를 만들고, 항목마다 실제 코드 레벨에서 막혀 있는지 확인해야 한다. OWASP는 2023년 API Security Top 10을 갱신했다. 이전 버전 대비 Broken Object Property Level Authorization(BOPLA)이 추가되고, API 특화 위협이 더 구체화됐다.

VPN 서비스 개발자 추천 2026 — NordVPN·ExpressVPN·Mullvad·ProtonVPN 비교

VPN은 개발자에게 단순한 보안 도구가 아니다. 해외 API 테스트, 지역 제한 서비스 접근, 공용 네트워크에서의 개발, 회사 내부망 접속까지 실무에서 쓰이는 케이스가 많다. 2026년 기준 NordVPN, ExpressVPN, Mullvad, ProtonVPN 네 가지를 속도·보안·가격·개발자 실용성 기준으로 비교한다.

OpenAI·Anthropic·Google, Frontier Model Forum으로 중국 AI 모델 복제에 공동 대응 — 적대적 증류 공격의 실체

2026년 4월 6일 OpenAI, Anthropic, Google이 Frontier Model Forum을 통해 처음으로 보안 협력을 시작했다. DeepSeek, Moonshot AI, MiniMax가 24,000개 사기 계정으로 Claude API를 통해 1,600만 건의 대화를 수집한 적대적 증류 공격의 메커니즘과 개발자 영향을 분석한다.

Clerk vs Auth0 vs NextAuth.js 2026 — SaaS 인증 서비스 완전 비교

한 줄 요약: Clerk는 Next.js 스타트업 최속 구현, Auth0는 엔터프라이즈 컴플라이언스, NextAuth.js(Auth.js)는 비용 제로 셀프호스팅 — 세 선택지는 각각 뚜렷한 이유가 있다. 이 글이 필요한 사람 Next.js/Vercel 스택으로 SaaS를 시작하려는 1인 개발자·스타트업 Auth0에서 비용 급증을 경험하고 대안을 찾는 팀 SOC 2·HIPAA 등 컴플라이언스가 필요한 B2B 제품 담당자 MAU 1만 명 이상 구간에서 인증 서비스를 재검토 중인 엔지니어 ※...

npm 패키지 공급망 공격으로 AWS 키가 탈취된 48시간 — 스타트업 보안 사고 실전 기록

한 줄 요약: 한국의 B2B SaaS 스타트업이 npm 패키지 악성 업데이트(postinstall 스크립트)로 AWS 자격증명이 탈취되는 공급망 공격을 경험했다. 새벽 3시 청구 알림으로 시작된 이 사건은 48시간 만에 봉쇄됐고, 팀은 서비스 중단 없이 대응하면서 재발 방지 체계를 구축했다. 이 스타트업의 인프라 담당 개발자 K씨는 새벽 3시 12분에 스마트폰 알림으로 잠에서 깼다.

Linux 서버 보안 하드닝 6단계 — 배포 직후 반드시 적용해야 할 실전 체크리스트

AWS EC2·GCP·DigitalOcean 등에 Ubuntu/Debian 서버를 배포한 직후 적용해야 할 보안 강화 6단계. SSH 키 인증·UFW 방화벽·Fail2ban·자동 업데이트·unattended-upgrades 설정까지 실제 명령어 기준으로 정리. root 접근 차단, 포트 화이트리스트, 침입 감지까지 커버.

인증 구현 가이드 2026 — JWT, OAuth, Passkey

한 줄 요약: 2026년 인증의 표준은 Passkey(비밀번호 없는 인증)로 이동하고 있으며, 기존 시스템에서는 JWT + Refresh Token + OAuth 2.0 조합이 가장 실용적이다. 인증 구현은 보안 사고의 가장 흔한 원인이다. 2026년 주요 인증 방식: JWT (토큰 기반, 가장 보편적), OAuth 2.0 (소셜 로그인), Passkey (비밀번호 없는 인증, 빠르게 성장 중).

OWASP Top 10 2026 — 웹 보안 필수 체크리스트

한 줄 요약: OWASP Top 10은 웹 애플리케이션의 가장 흔한 보안 위협 목록으로, Injection, Broken Authentication, XSS 등에 대한 방어를 필수적으로 구현해야 한다. 보안은 선택이 아닌 필수다. OWASP Top 10은 가장 빈번한 웹 애플리케이션 보안 위험 을 정리한 목록입니다. 모든 웹 개발자가 알아야 할 기본 보안 지식입니다.

Claude Code 소스코드 유출 사건 — npm 소스맵 실수로 51만 줄 노출, 공급망 보안까지 흔들렸다

Anthropic이 Claude Code v2.1.88 npm 배포에서 소스맵을 포함시켜 512,000줄 전체 소스코드가 유출됐다. KAIROS 백그라운드 에이전트, Undercover Mode, 44개 피처 플래그 노출, GitHub DMCA 8,100개 레포 대량 삭제 드라마, Axios 공급망 공격 의혹까지 정리한다.

Claude Opus 4.6이 Firefox 취약점 22개를 2주 만에 찾아낸 의미 — AI 보안 검증 시대

한 줄 요약: Anthropic의 Claude Opus 4.6이 2주 만에 Firefox에서 22개 보안 취약점을 발견했다. 14개가 고위험(High)이며, 이 중 하나(CVE-2026-2796)는 CVSS 9.8점짜리 JIT 취약점이다. Anthropic은 Mozilla와 협력해 Firefox의 C++ 코드베이스 약 6,000개 파일을 Claude Opus 4.6으로 스캔 했다.