AI 보안 다이제스트 — 2026년 5월

DIGEST • 2026년 7월 23일 • Read in English

AI 보안 다이제스트 — 2026년 5월

2026년 5월은 AI 보안의 분수령이었습니다. 실제 공격에서 확인된 최초의 AI 작성 제로데이 익스플로잇부터, OpenAI의 코드 서명 파이프라인까지 도달한 자기 전파형 npm 웜, Microsoft Semantic Kernel에서 완전한 RCE로 이어진 프롬프트 인젝션 결함까지, AI 시스템을 둘러싼 공격 표면이 모든 방향으로 확장됐습니다. 이번 다이제스트에서는 AIM Intelligence와 협력 기관들이 공개한 XL-SafetyBench를 포함해 이달을 규정한 일곱 가지 사건을 다룹니다.

By Yonggyu Kim

2026년 5월은 전환점이었습니다. 실제 공격 캠페인에 쓰인 제로데이 익스플로잇의 저자가 AI였다는 사실이 처음으로 확인됐습니다. 단순한 자동화 도구가 아니라, 스스로 취약점을 찾아내 무기화하는 주체로 올라선 셈입니다. 같은 시기에 AI를 둘러싼 인프라도 도마에 올랐습니다. SDK와 에이전트 프레임워크, npm 패키지, CI/CD 파이프라인이 모델 자체만큼이나 위험하다는 사실이 드러났습니다.

핵심 요약

AI가 이제 공격을 만들어내기 시작했습니다. GTIG의 공개에 따르면 AI 모델이 스스로 취약점을 발견하고 익스플로잇까지 작성했습니다. 사람의 개입은 없었습니다. 공격과 방어가 맞물려 도는 순환에서 인간이라는 병목이 사라진 것입니다.
"30일 내 패치"는 이미 무너졌습니다. Verizon DBIR 2026을 보면, CISA KEV 카탈로그에 오른 심각 CVE 가운데 28.3%가 공개 24시간 안에 무기화됐습니다. 취약점 익스플로잇은 19년 만에 처음으로 자격 증명 탈취를 제치고 침해의 1순위 경로에 올랐습니다.
AI 인프라가 새로운 공격 표면입니다. 취약한 MCP 서버 인스턴스 20만 개, 6분 만에 뚫린 SLSA Build Level 3, Microsoft Semantic Kernel의 CVSS 9.8~10.0 결함 두 건입니다. AI를 둘러싼 프레임워크와 공급망이 어느새 1차 표적이 됐습니다.

이달을 규정한 일곱 가지 사건을 하나씩 짚어 봅니다.

1. 최초의 AI 작성 제로데이: 사람 없이 처음부터 끝까지 자율 수행한 익스플로잇

날짜: 2026년 5월 11일 · 심각도: 심각 · 위협 유형: Offensive AI

구글 위협 인텔리전스 그룹 GTIG가 획기적인 발견을 공개했습니다. 한 위협 행위자가 AI 모델을 동원해 널리 쓰이는 오픈소스 시스템 관리 도구를 파고들었고, 그때까지 알려지지 않았던 2단계 인증 우회 취약점을 찾아내 실제로 동작하는 익스플로잇까지 작성했습니다.

Python 스크립트 형태였던 이 익스플로잇에는 LLM의 흔적이 뚜렷했습니다. 지나치게 상세한 교육용 docstring, 환각으로 지어낸 CVSS 점수, 유난히 반듯한 "교과서적 Python" 스타일 포맷이 그대로 남아 있었습니다. GTIG는 AI 모델이 로그인 흐름에 하드코딩된 신뢰 가정, 곧 의미론적 논리 결함을 스스로 짚어냈고 사람 손을 거치지 않은 채 무기화된 개념 증명 코드를 만들어냈다고 높은 신뢰도로 평가했습니다.

왜 중요한가: 그동안 AI가 공격에 쓰인 사례는 하나같이 사람을 보조하는 형태였습니다. 스캔을 돌리거나, 피싱 미끼를 만들거나, 반복 작업을 자동화하는 정도였습니다. 이번 건은 다릅니다. 취약점 발견부터 익스플로잇 개발까지 이어지는 파이프라인을 AI가 처음부터 끝까지 스스로 만들어낸 최초의 확인 사례입니다. 캠페인은 대규모 악용에 앞서 차단됐고, 벤더는 5월 11일에 결함을 패치했습니다.

비즈니스 영향: 인간 속도의 공격 개발을 전제로 사고 대응 계획을 짜 둔 조직이라면, 이제 문서로 입증된 공백을 떠안게 됐습니다. AI가 쓴 익스플로잇을 염두에 두지 않은 위협 모델은, 이미 사라진 위협 환경을 기준으로 삼고 있는 셈입니다.

업계의 대응: GTIG는 대규모 악용이 벌어지기 전에 캠페인을 차단했고, 12개국 CERT와 침해 지표를 공유했습니다. 벤더는 공개 당일에 패치를 내놨습니다.

AI 자율 익스플로잇 생성 파이프라인 — 소스 코드 → LLM/AI 모델 → 취약점 발견 → 익스플로잇 스크립트 → 표적 시스템으로 이어지며, — AI 작성 제로데이 파이프라인: 코드 스캔부터 무기화된 익스플로잇까지 완전 자율 수행

2. Mini Shai-Hulud: 6분 만에 악성 패키지 84개, 5억 1,800만 다운로드가 위험에 노출

날짜: 2026년 5월 11일 · 심각도: 높음 · 위협 유형: Supply Chain

UTC 기준 19시 20분부터 19시 26분까지 6분 사이, 갈취 조직 TeamPCP가 42개의 @tanstack/* npm 패키지에 걸쳐 악성 패키지 아티팩트 84개를 게시했습니다. 이 공격은 pull_request_target 트리거 설정 오류에 Actions 캐시 오염과 OIDC 토큰 추출을 엮었습니다. 그렇게 만들어진 악성 패키지는 SLSA Build Level 3 프로버넌스를 정상적으로 증명받았고, 대부분의 조직이 기대는 공급망 무결성 검사를 우회했습니다.

이 웜은 OpenAI와 Mistral AI, Guardrails AI로 하류 전파됐습니다. OpenAI에서는 직원 기기 두 대가 감염됐고, 공격자는 내부 소스 코드 저장소와 자격 증명에 제한적으로 접근할 수 있었습니다. OpenAI는 곧바로 macOS 코드 서명 인증서를 교체하고, 모든 macOS OpenAI 앱, 곧 ChatGPT Desktop과 Codex, Atlas에 강제 업데이트를 적용했습니다.

최종 집계로 npm과 PyPI에 걸쳐 170개가 넘는 패키지가 영향을 받았고, 누적 다운로드는 5억 1,800만 건에 이르렀습니다.

왜 중요한가: 공급망 무결성 검증을 통과하는 악성 패키지를 만들어낸, 최초로 문서화된 npm 웜입니다. 빌드 증명의 표준으로 널리 인정받아 온 SLSA Build Level 3 프로버넌스조차, 빌드 환경 자체가 뚫리면 소용이 없다는 사실을 이번 공격이 드러냈습니다. AI 벤더의 하류 의존성 노출은 이제 문서로 입증된 공격 경로가 됐습니다.

비즈니스 영향: 영향받은 170개 패키지 위에서 소프트웨어를 배포하던 조직이라면, 패치가 끝날 때까지 잔여 신뢰 위험을 떠안고 있었던 셈입니다. OpenAI가 모든 macOS 앱에 강제 업데이트를 밀어붙이며 긴급 인증서 교체까지 단행한 대목은, AI 벤더의 CI/CD 파이프라인이 공급망 노드가 되는 순간 그 폭발 반경이 최종 사용자에게까지 미친다는 점을 보여줍니다. 이제 서드파티 위험 관리 프로그램에는 AI 벤더의 주요 의존성도 함께 넣어야 합니다.

업계의 대응: OpenAI는 72시간 안에 긴급 코드 서명 인증서 교체를 마쳤습니다. GitHub은 곧바로 공개 저장소용 pull_request_target 기본값을 강화하겠다고 발표했습니다.

npm 공급망 웜 공격: TeamPCP → npm 레지스트리(6분 만에 악성 패키지 84개) → OpenAI, Mistral AI, Guardrails AI가 모두 — Mini Shai-Hulud: @tanstack/* 패키지를 경유해 AI 벤더에 도달한 공급망 웜

3. 프롬프트 인젝션 → RCE: Microsoft Semantic Kernel의 CVSS 9.8 + 10.0

날짜: 2026년 5월 7일 · 심각도: 심각 · 위협 유형: Prompt Injection / Agent Security

Microsoft의 Defender Security Research Team이 Semantic Kernel AI 에이전트 프레임워크에서 취약점 두 건을 공개했습니다. 둘 다 프롬프트 인젝션이 어떻게 임의 코드 실행으로 이어지는지를 보여 줍니다.

CVE-2026-26030 (CVSS 9.8, Python SDK < 1.39.4): InMemoryVectorStore의 필터 함수가 공격자가 제어하는 입력을 Python의 eval()에 그대로 흘려보냈습니다. 공격자는 조작된 벡터 스토어 항목으로 os.system() 호출을 주입할 수 있었고, 블랙리스트 기반 검증기는 클래스 계층 탐색만으로 우회됐습니다.

CVE-2026-25592 (CVSS 10.0, .NET SDK < 1.71.0): 내부용 DownloadFileAsync 헬퍼가 실수로 [KernelFunction]으로 노출되는 바람에, 경로 검증도 없이 LLM이 호출할 수 있게 됐습니다. Azure Container App에서는 이를 악용해 샌드박스를 탈출하고 Windows 시작프로그램 폴더에 파일을 심을 수 있었으며, 끝내 지속 실행까지 이어졌습니다.

두 취약점은 같은 패턴을 따릅니다. 도구나 데이터 입력이 권한 있는 실행 컨텍스트에 닿기 전까지 전혀 정화되지 않고, 그 길목에서 LLM이 자신도 모른 채 중계 역할을 떠맡습니다.

Attacker-controlled input
        ↓
  LLM processes it
        ↓
  Tool call / eval()
        ↓
  Arbitrary code execution on host

왜 중요한가: Semantic Kernel은 기업 환경에서 가장 많이 쓰이는 AI 에이전트 프레임워크 가운데 하나입니다. 이번 건은 이론에만 머무는 버그가 아닙니다. 신뢰할 수 없는 입력을 권한 있는 실행 컨텍스트로 넘기는 프레임워크라면 어디서든 되풀이될 유형, 곧 프롬프트 인젝션에서 도구 오용을 거쳐 RCE로 번지는 흐름을 보여 줍니다. 패치는 Python SDK 1.39.4 이상, .NET SDK 1.71.0 이상에서 받을 수 있습니다.

비즈니스 영향: CVE-2026-25592(CVSS 10.0)는 Azure Container Apps에서 샌드박스 탈출을 허용합니다. 단순 설정 문제가 아니라 침해에 준하는 심각도입니다. 클라우드 인프라에서 .NET 기반 AI 에이전트를 굴리는 기업이라면 예외 없이 이를 P0 패치로 다뤄야 합니다. 이번엔 Microsoft 보안팀이 먼저 찾아냈으니 그나마 최선의 시나리오였습니다. 마음먹은 외부 공격자였다면 같은 경로를 그대로 밟았을 것입니다.

업계의 대응: Microsoft는 내부 공개 후 8일 만에 두 CVE를 모두 패치했습니다. 업계 표준인 90일을 크게 앞당긴 속도입니다. 즉시 패치가 어려운 조직을 위해 상세한 보완 통제 방안도 함께 내놨습니다.

프롬프트 인젝션에서 RCE로 이어지는 수직 흐름: 공격자 입력 → LLM(Semantic Kernel) → 도구 호출/eval() → 임의 코드 실행. 각 화살표에 — Semantic Kernel CVE-2026-26030 & CVE-2026-25592: 프롬프트 인젝션에서 RCE로 이어지는 공격 체인

4. Verizon DBIR 2026: 익스플로잇이 자격 증명을 추월 — 31% vs 13%, 19년 만에 처음

날짜: 2026년 5월 19~20일 · 심각도: 업계 전반 · 위협 유형: Industry Intel

145개국에서 확인된 22,000건이 넘는 침해를 분석한 2026 Verizon 데이터 침해 조사 보고서가 역사적인 결과를 내놨습니다. 취약점 익스플로잇이 2008년 보고서 출범 이래 처음으로 자격 증명 탈취를 제치고 침해의 1순위 진입점에 오른 것입니다.

침해의 **31%**가 취약점 익스플로잇에서 출발했고, 자격 증명 탈취로 시작된 경우는 **13%**였습니다.

가장 큰 동인은 AI입니다. 위협 행위자들은 이제 문서화된 공격 기법 가운데 중앙값 15개 구간에서 생성형 AI를 끌어다 쓰며, 익스플로잇에 걸리는 시간을 몇 주에서 몇 시간으로 압축하고 있습니다. 주요 결과는 다음과 같습니다.

CISA KEV 카탈로그에 오른 CVE의 **28.3%**가 공개 24시간 안에 악용됐습니다.
2025년에 완전히 조치된 CISA KEV 취약점은 **26%**에 그쳤습니다.
서드파티와 공급망이 얽힌 침해는 전년보다 60% 급증해, 이제 전체 침해의 **48%**를 차지합니다.
심각 취약점은 CVE 공개부터 실제 악용까지의 중앙값이 몇 시간 수준으로 주저앉았습니다.

왜 중요한가: AI로 빨라진 익스플로잇과 만성적인 패치 인력 부족이 맞물리면서, 전통적인 "30일 내 패치" 지침은 밑동부터 무너졌습니다. 공개와 악용 사이의 간격이 이제 웬만한 조직의 패치 검토 주기보다 짧습니다.

비즈니스 영향: 이 수치들은 이사회 보고에 곧바로 쓸 수 있습니다. 취약점 익스플로잇이 침해의 1순위 진입점이 됐고, 서드파티 관여는 48%까지 올라왔으며, 심각 CVE의 30일 패치 SLA는 사실상 무너졌습니다. 보안 예산을 쥔 담당자에게 이 보고서는, 취약점 관리 프로그램과 서드파티 위험 평가 범위를 함께 넓혀야 한다는 가장 분명한 데이터 근거가 됩니다.

Verizon DBIR 2026: 취약점 익스플로잇 31%와 자격 증명 탈취 13%를 비교한 막대 그래프에 — Verizon DBIR 2026: 취약점 익스플로잇이 자격 증명을 추월, 익스플로잇 간격이 몇 시간으로 붕괴

5. Claude Mythos, 1,000개 이상 프로젝트에서 제로데이 23,019건 발견 — 99%가 미패치

날짜: 2026년 5월 26일 · 심각도: 심각(시스템 전반) · 위협 유형: Autonomous AI / AI Red-Teaming

Anthropic의 Project Glasswing 업데이트에 따르면, 자율 취약점 연구 모델 Claude Mythos Preview가 4월 이후 1,000개가 넘는 오픈소스 프로젝트에서 취약점 23,019건을 찾아냈습니다. 이 가운데 6,202건이 높음 또는 심각으로 분류됐습니다.

확인된 발견 가운데는 wolfSSL의 심각 결함도 있었습니다. 수십억 대의 임베디드와 IoT 기기에 들어가는 이 오픈소스 암호화 라이브러리를 노리면, 인증서를 위조해 금융 기관을 사칭할 수 있었습니다. 독립 보안 기업 여섯 곳이 Mythos의 발견을 교차 검증해 90% 이상의 정탐률을 확인했습니다.

별도의 보안 사고가 공개 과정을 한층 꼬이게 만들었습니다. Anthropic의 CMS 설정 오류로 Mythos의 역량을 설명한 내부 문서가 새어 나갔고, 결국 조율된 조치를 마치기도 전에 서둘러 공개할 수밖에 없었습니다. 업데이트 시점 기준으로, 발견된 취약점 99% 이상을 오픈소스 관리자들이 아직 패치하지 못한 상태입니다.

Anthropic은 여기에 맞서 1억 달러 규모의 방어 이니셔티브를 내놨습니다. Amazon과 Apple, Microsoft, Google을 비롯한 대형 기술 기업 열한 곳과 손잡고, 적대적 행위자가 같은 역량을 갖추기 전에 패치를 조율하겠다는 구상입니다.

왜 중요한가: 자율 AI 취약점 연구가 오픈소스 생태계의 대응 역량을 앞질러 버렸다는, 지금까지 가장 분명한 증거입니다. 미패치로 남은 99%는, 국가 지원 여부와 상관없이 적대적 행위자가 같은 표적을 상대로 동등한 공격 도구를 개발할 시간이 그만큼 넉넉하다는 뜻입니다.

비즈니스 영향: 확인된 wolfSSL 취약점은 수십억 대의 임베디드와 IoT 기기에 영향을 미치지만, 아직 벤더 패치가 없습니다. OT·IoT를 운영하는 조직은 지금 당장 wolfSSL 사용 현황부터 조사해야 합니다. 시야를 넓히면, 적대적 행위자가 같은 수준의 AI 발견 역량을 갖추는 순간 미패치로 남은 23,000건은 그대로 공격용 카탈로그로 돌변합니다. 오픈소스에 기대는 공급망 전체에 걸린 시스템 차원의 위험인 셈입니다.

업계의 대응: Amazon과 Apple, Microsoft, Google이 Anthropic의 1억 달러 방어 패치 이니셔티브에 합류했습니다. Linux Foundation은 AI가 찾아낸 취약점을 전담하는 긴급 OSS 관리자 대응 기금을 새로 마련했습니다.

중앙에 Claude Mythos AI가 있고, 화살표가 수십 개의 오픈소스 프로젝트 박스로 뻗어 나간다(wolfSSL은 — Claude Mythos / Project Glasswing: 취약점 23,019건 발견, 99%가 미패치

6. MCP 공급망: CVE 10건 이상, 취약 인스턴스 20만 개 — Log4Shell 패턴의 재현

날짜: 2026년 4~5월(진행 중) · 심각도: 심각 · 위협 유형: Supply Chain / Prompt Injection

OX Security가 Anthropic의 Model Context Protocol(MCP) 생태계를 파고든 확장 연구는 4월에 공개됐지만, 그 파장은 5월 내내 업계 전반으로 번졌습니다. 이 연구가 드러낸 것은 시스템 차원의 아키텍처 취약점이었습니다. STDIO 기반 MCP 실행 모델은 사용자 입력을 정화 없이 명령 실행으로 흘려보내고, MCP에 연결된 도구라면 어디서든 프롬프트 인젝션이 RCE로 번질 수 있습니다.

프로덕션 플랫폼 곳곳에서 CVE 10건이 발급됐습니다. 대표적인 사례는 다음과 같습니다.

CVE	제품	영향
CVE-2026-30623	LiteLLM	JSON을 통한 인증 후 RCE
CVE-2026-30624	Agent Zero	인증 없는 UI 인젝션
CVE-2026-30615	Windsurf	제로클릭 프롬프트 인젝션
CVE-2025-65720	GPT Researcher	UI를 통한 리버스 셸
CVE-2026-30625	Upsonic	허용 목록 우회

OX 연구진은 공개적으로 노출된 MCP 서버 7,000개 이상, 영향받는 라이브러리 다운로드 1억 5,000만 건 이상을 훑어, 취약한 인스턴스가 약 20만 개에 이른다고 파악했습니다. Claude Code와 Cursor, VS Code, Windsurf, Gemini CLI 모두 MCP를 거친 프롬프트 인젝션에 취약한 것으로 드러났습니다.

Anthropic은 STDIO 동작이 "설계 의도"라며 프로토콜 아키텍처를 손대지 않겠다고 밝혔습니다. 개별 벤더들은 부분 패치를 내놓는 데 그쳤습니다.

왜 중요한가: MCP 프롬프트 인젝션은 2000년대 SQL 인젝션과 판박이인 위협 모델입니다. 새로운 기술, 곧 AI 도구 사용이 새로운 유형의 인젝션 취약점을 낳는데, 생태계의 방어 태세는 몇 년씩 뒤처져 있는 구조입니다. MCP 도입에 속도가 붙는 만큼, 이 유형의 취약점은 완화책이 표준으로 자리 잡기 전에 대규모로 악용될 것입니다.

비즈니스 영향: 중앙 패치 메커니즘도 없이 노출된 MCP 인스턴스 20만 개는 초기 Log4Shell 국면을 그대로 빼닮았습니다. 취약점이 벤더별이 아니라 구조에 박혀 있어, 단일 CVE보다 조율된 조치가 훨씬 까다롭습니다. MCP 기반 AI 도구, 이를테면 Cursor와 VS Code 플러그인, 자체 MCP 서버를 도입하는 조직은 서드파티 소프트웨어와 똑같은 절차로 승인을 거쳐야 하고, 모든 MCP 입력을 신뢰할 수 없는 것으로 취급해야 합니다.

업계의 대응: Cursor와 Windsurf는 부분 패치를 내놨습니다. VS Code는 MCP 도구 호출에 사용자 확인 프롬프트를 붙였습니다. Anthropic은 STDIO 아키텍처가 설계 의도라는 입장을 굽히지 않았고, 프로토콜 차원의 수정은 없었습니다.

MCP 아키텍처 취약점: 사용자/공격자 입력 → — MCP 공급망: STDIO 프롬프트 인젝션이 20만 개 인스턴스에서 보안 검사를 우회

7. XL-SafetyBench: AI 안전성 평가에는 지리적 문제가 있다

날짜: 2026년 5월 · 출처: AIM Intelligence 및 협력 기관 · 위협 유형: AI Evaluation

대부분의 AI 안전성 벤치마크는 영어로 쓰이고, 영어권 위험 맥락에 맞춰 설계되며, 영어권 주석자가 검증합니다. AIM Intelligence는 이 공백을 메우려고 Microsoft, 한국 AI안전연구소, KT, BMW Group, 뮌헨공과대학교, 앙카라대학교, 서울대학교와 손잡고 XL-SafetyBench를 공개했습니다.

이 벤치마크는 10개 국가-언어 쌍(미국, 프랑스, 독일, 스페인, 한국, 일본, 인도, 인도네시아, 튀르키예, UAE)을 아우르며, 서로 직교하는 두 차원에 걸쳐 5,500개 테스트 케이스로 짜여 있습니다.

탈옥 벤치마크(4,500개): 모델이 현지 법률과 사기 수법, 플랫폼에 기반한 유해 요청을 거부할 수 있는가? 흔한 프롬프트가 아니라, 해당 관할권에만 존재하는 국가별 공격 벡터입니다.
문화 벤치마크(1,000개): 모델이 평범한 요청 속에 숨은 문화적으로 민감한 대목을 포착할 수 있는가? 예컨대 튀르키예의 한 사용자가 할 일 목록을 정리해 달라고 부탁하는데, 그 항목 하나가 남은 빵을 버리는 일입니다. 그곳에서 빵을 낭비하는 행위는 대단히 무례합니다. 정작 모델은 작업만 처리한 채 그 대목을 그냥 지나칩니다.

문화 벤치마크 시나리오: 튀르키예의 사용자가 — XL-SafetyBench 문화 벤치마크: 평범한 작업 안에 숨어 있는 위반

10개 프런티어 모델을 놓고 보니 두 가지 결과가 두드러졌습니다.

탈옥 견고성과 문화적 인식은 서로 분리되어 있습니다. 적대적 공격을 잘 막아내는 모델이라고 해서 반드시 현지 문화 맥락까지 이해하는 것은 아니고, 그 반대도 마찬가지입니다. Gemini-3.1-Pro는 문화 민감도 지표 CSR 76.1%로 선두에 섰지만, 공격 성공률은 43.4%에 이르렀습니다. 단일 안전성 점수 하나로는 이런 괴리가 통째로 가려집니다.

로컬 모델의 안전성 착시. 27개 로컬 모델의 공격 성공률과 비일관성 비율을 함께 찍어 보면, 거의 선형에 가까운 트레이드오프 위에 뭉쳐 있습니다. ASR + NSR ≈ 100%인 셈입니다. 안전해 보이던 결과가 실은 언어적 실패인 경우가 많습니다. 공격 성공률이 낮게 나온 것은 모델이 요청을 거부해서가 아니라, 애초에 프롬프트를 알아듣지 못했기 때문입니다.

비즈니스 영향: 금융 서비스와 헬스케어, 이커머스처럼 글로벌 시장에 LLM을 배포하는 조직은 컴플라이언스나 벤더 선정에서 영어 안전성 벤치마크에만 기댈 수 없습니다. 표준 벤치마크를 통과한 모델이라도 국가별 프롬프트 앞에서는 공격 성공률이 43.4%까지 치솟을 수 있습니다. 국가 기반 안전성 평가는 배포 뒤에 뒤늦게 챙길 문제가 아니라, 조달 단계에서부터 필수 요건이어야 합니다.

논문: arXiv:2605.05662
데이터셋: HuggingFace의 AIM-Intelligence/XL-SafetyBench
코드: GitHub의 AIM-Intelligence/XL-SafetyBench

2026년 5월을 관통하는 패턴

일곱 가지 사건을 한데 모아 놓고 보면, 일관된 패턴이 드러납니다.

AI 인프라가 새로운 공격 표면입니다. 일곱 건 가운데 네 건은 AI 모델 자체가 아니라 그 주변을 둘러싼 프레임워크와 SDK, 패키지 생태계, 프로토콜에 얽혀 있습니다. Semantic Kernel, npm/TanStack, MCP 서버, CI/CD 파이프라인이 바로 그것입니다. AI 배포를 안전하게 지키려면 의존성 사슬 전체를 위협 모델 안으로 끌어들여야 합니다.

익스플로잇 수명 주기가 무너지고 있습니다. Verizon DBIR 데이터와 AI 작성 제로데이는 같은 방향을 가리킵니다. 취약점의 존재와 무기화된 악용 사이의 시간을 AI가 압축하고 있다는 뜻입니다. 방어팀에는 인간 속도가 아니라 AI 속도로 돌아가는 탐지·대응 역량이 필요합니다.

프롬프트 인젝션은 AI 시대의 SQL 인젝션입니다. CVE-2026-26030과 CVE-2026-25592, MCP CVE 묶음은 모두 같은 근본 원인을 파고듭니다. 사용자가 제어하는 입력이 정화 없이 권한 있는 실행 컨텍스트에 닿는다는 점입니다. 패턴은 해묵었지만, 실행 환경은 완전히 새롭습니다.

이달의 보안 리더 체크리스트

위 사건들에서 곧바로 끌어낸 실행 항목입니다.

심각 CVE의 패치 SLA를 다시 점검하십시오. 30일이 넘는다면, 이제 심각 취약점의 악용 소요 시간 중앙값보다도 긴 셈입니다. Verizon DBIR이 보여 준 수치입니다. 어떤 CVE가 가장 위험한지부터 파악하십시오.
모든 프로젝트에서 @tanstack/*와 관련 의존성을 감사하십시오. GitHub Actions의 pull_request_target 설정과 빌드 환경 격리 상태를 확인하십시오.
Semantic Kernel을 즉시 패치하십시오. Python SDK 1.39.4 이상, .NET SDK 1.71.0 이상입니다. CVE-2026-25592(CVSS 10.0)는 Azure Container Apps에서 지속 실행을 열어 줍니다.
모든 MCP 서버 배포와 개발자 도구를 조사하십시오. Cursor, VS Code MCP 플러그인, 자체 MCP 서버가 대상입니다. 정화가 검증되기 전까지 모든 STDIO MCP 입력을 신뢰할 수 없는 사용자 입력으로 취급하십시오.
AI 벤더와 그 핵심 의존성을 서드파티 위험 관리 프로그램에 넣으십시오. OpenAI의 코드 서명 파이프라인까지 파고든 npm 웜이 좋은 참고 사례입니다.
글로벌 LLM 배포라면, 벤더 평가 항목으로 영어 벤치마크만이 아니라 국가별 안전성 평가까지 요구하십시오.