캘린더 앱에서 겹치는 일정 찾아“조정해 드릴까요” 먼저 말 걸어와이메일 작성·쇼핑 결제까지 해결AI가 각종 프로그램 ‘관문’ 역할빅테크·AI기업 경쟁의 축 떠올라 “이번 주 월요일 아침 일정 3개가 겹쳤어요. 지난번처럼 시간이 잘못 표시된 것 같은데 조정해 드릴까요.” 인공지능(AI)이 내 일을 대신해 주는 ‘개인 비서형 AI 에이전트’ 시대가 열린 가운데, 대표적인 AI 에이전트인 메타의 뮤즈가 27일 먼저 말을 걸어왔다. 과거에 일정이 겹쳐 시간을 조정했던 이력을 기억하고, 이번에도 같은 문제인지 확인한 것이다. 2개 약속은 시간을 잘못 알았다고 하자 뮤즈는 캘린더에 직접 접속해 해당 약속 시간을 수정했다. 명령 수행을 넘어 과거 소통 맥락을 바탕으로 필요한 일을 먼저 제안하고 실행하는 셈이다. 사용자가 이메일, 캘린더, 쇼핑사이트 등 각 서비스를 직접 찾는 대신 AI 에이전트가 ‘관문’ 역할을 할 것이라는 정보기술(IT) 업계의 전망에 무게가 실렸다. 이용자와 디지털 서비스를 연결하는 접점을 누가 차지하느냐가 새로운 전장으로 부상한 셈이다. 이번에는 뮤즈에 메일 계정을 연결하고 1만개에 가까운 이메일 정리를 맡겼다. 불과 몇 분 만에 전체 메일 9939개와 읽지 않은 메일 6633개 등 메일함 현황을 파악했고, 프로모션(상업성) 메일도 5557개로 분류해 집계했다. 이후 광고성 메일은 휴지통으로 옮겨도 된다고 하자 뮤즈는 4개 업체의 메일 941개를 버렸다. 메일을 하나씩 열어 확인하고 삭제했던 작업이 사라졌다. 이메일 작성·발송도 뮤즈 안에서 진행할 수 있었다. 그 외에 뮤즈를 통해 상품 검색과 비교, 주문·결제 등도 가능했다. 지난달 미국과 캐나다에서 서비스를 시작한 뮤즈는 출시 40일 만에 가입자 1000만명을 돌파했다. 우리나라 서비스는 아직 안 되고 있어 미국 거주 정보로 시험했다. 개인형 AI 에이전트가 일상 전반의 업무를 수행하려면 다른 기업의 이메일과 캘린더, 쇼핑 등 다양한 서비스와 연결돼야 한다. 이에 따라 이용자가 많은 기존 사이트들은 AI 에이전트를 관문으로 수용할지 차단할지 고심 중이다. 일례로 아마존은 자체 쇼핑 AI 에이전트 ‘루퍼스’를 활성화하기 위해 뮤즈가 자사 플랫폼에서 상품을 검색·구매하는 것을 차단했다. 국내에서도 쿠팡과 네이버는 외부 AI 에이전트의 접근을 허용하지 않는다. 반면 월마트는 AI 에이전트의 상품 검색 및 결제 등을 허용하고 있다. 업계 관계자는 “AI 에이전트의 서비스 접근을 둘러싼 기업 간 줄다리기가 시작됐다”며 “하지만 이용자가 늘어 AI 에이전트가 관문으로 자리잡으면 다른 서비스들도 연동 요구를 외면하기 어려울 것”이라고 말했다.

- TuxCare(턱스케어) 국내 독점 총판…지원 종료 PHP 환경의 보안 유지 방안 제시- PHP2Shell 취약점 2건 대응 패치 제공…상위 버전 전환 어려운 기업의 대응 지원- 추가 발견된 취약점은 별도 점검 필요…패치 적용부터 실행 환경 확인까지 강조 AI·ICT 전문기업 쿠도커뮤니케이션(대표 김용식)은 국내 독점 총판을 맡고 있는 글로벌 오픈소스 보안 전문기업 TuxCare(턱스케어)의 PHP 보안 지원 솔루션을 통해, 지원 종료(EOL) PHP를 운영하는 국내 기업의 보안 공백을 줄이기 위한 대응 방안을 제시한다. 최근 웹서비스 개발에 널리 사용되는 PHP에서 원격 코드 실행으로 이어질 수 있는 ‘PHP2Shell’ 취약점이 공개되면서 기업과 기관의 신속한 보안 업데이트 필요성이 커지고 있다. 이후 별도의 신규 취약점까지 추가로 확인되면서, 기존 패치 적용 여부뿐만 아니라 운영 환경과 서버 설정에 대한 지속적인 점검도 요구되고 있다. 특히 공식 지원이 종료된 구버전 PHP를 사용하는 기업은 보안 업데이트와 안정적인 서비스 운영을 함께 고려해야 하는 과제를 안고 있다. 기존 애플리케이션이나 확장 모듈과의 호환성 문제로 인해 상위 버전 전환에 상당한 시간이 소요될 수 있으며, 시스템 운영을 외부 업체에 위탁한 경우에는 실제 사용 중인 PHP 환경과 패치 적용 여부를 확인하는 과정도 뒷받침돼야 한다. 이에 대해 턱스케어는 연장 수명 주기 지원 솔루션인 ‘ELS(Endless Lifecycle Support) for Runtimes’를 통해 지원 종료 PHP를 포함한 대상 환경에 지속적인 보안 업데이트를 제공하고 있다. 이번에 문제가 된 PHP2Shell 취약점인 ‘CVE-2026-109618’과 ‘CVE-2026-109619’에 대해서도 보안 수정사항을 반영한 PHP 패키지를 지원한다. 솔루션의 핵심은 기존 버전 계열을 유지한 채 최신 보안 수정사항만 반영하는 ‘백포트(Backport)’ 방식이다. PHP 상위 버전으로 즉시 전환하기 어려운 기업도 지원 대상 환경에서는 보안 수정사항이 적용된 패키지를 활용해 취약점에 신속히 대응하고, 동시에 애플리케이션 호환성 검증과 단계적인 업그레이드를 안정적으로 준비할 수 있다. 다만 실제 적용 가능 여부는 운영체제(OS), PHP 버전, 패키지 구성 및 사용 중인 확장 모듈에 따라 사전 확인이 필요하다. 아울러 기존 PHP2Shell 대응과 이후 추가로 공개된 신규 취약점은 구분해 접근해야 한다. 한국인터넷진흥원(KISA)은 지난 10월 24일 보안 공지를 통해 신규 취약점인 ‘CVE-2026-115560’이 특정 세션 설정 조합에서 발생할 수 있으며, 앞서 10월 21일 배포된 PHP 보안 업데이트만으로는 해결되지 않는다고 안내했다. KISA는 해당 공지에서 영향을 받는 환경에 대해 파일 업로드 진행 상황 추적 기능을 비활성화하고 모든 PHP 작업 프로세스를 재시작하는 임시 조치를 권고했다. 따라서 일선 기업에서는 자사의 PHP 사용 여부와 버전, 패키지 공급 경로를 우선 파악하고 각 운영 환경에 맞는 보안 업데이트와 추가 조치 사항을 확인하는 과정이 요구된다. 패키지 업데이트 이후에는 실제 웹서비스를 처리하는 PHP 프로세스에 수정사항이 정상적으로 반영됐는지 검증하고, 기존 침해 흔적 여부도 함께 점검해야 한다. 외부 웹호스팅 서비스를 이용하는 기업 역시 운영업체에 자사 서비스의 취약점 영향 여부와 보안 조치 완료 여부를 확인할 필요가 있다. 쿠도커뮤니케이션은 턱스케어의 국내 공식 총판사로서 국내 기업에 관련 솔루션을 공급하고 있으며, 이번 보안 이슈를 계기로 지원 종료 소프트웨어의 보안 유지관리 필요성과 기업 환경에 맞춘 PHP 취약점 대응 방안을 적극 알린다는 계획이다. 구대완 턱스케어 한국지사 대표는 “기업 현장에서는 기존 서비스와의 호환성, 운영 영향 등을 고려해야 하기 때문에 PHP 상위 버전으로 즉시 전환하기 어려운 경우가 있다”며 “중요한 것은 전환을 준비하는 동안에도 보안 업데이트가 이어질 수 있도록 지원 체계를 확보하는 것”이라고 말했다. 이어 “사용 중인 PHP 환경과 취약점별 대응 여부를 정확히 확인하고, 긴급 보안 조치와 중장기 업그레이드 계획을 함께 추진해야 한다”고 강조했다.

서울 광진구는 소상공인의 경영 부담을 덜고 경쟁력을 높이기 위해 ‘2026년 우리동네 소상공인 경영주치의 지원사업’을 추진한다고 27일 밝혔다. 이 사업은 전문가가 점포를 직접 방문해 경영상 문제점을 진단하고, 맞춤형 상담과 시설개선 비용을 지원하는 사업이다. 구는 서울신용보증재단과 협력해 15개 점포를 선정하고, 재단의 ‘자영업클리닉’과 연계해 두 차례 상담을 진행한 뒤 점포당 최대 150만원의 시설개선 비용을 지원한다. 지원 대상은 광진구에 사업장을 두고 1년 이상 영업한 점포형 소상공인이다. 법인은 본점이 광진구에 있어야 한다. 지원 항목은 간판과 조명, 진열장과 수납장, 내부 시설, 화장실, 냉난방기, 업소용 냉장고 등이다. 다만 간판은 외부 교체만 지원하며, 냉난방기와 업소용 냉장고의 신규 구매 비용은 제외된다. 판매 상품과 원자재, 이동 가능한 시설이나 장치도 지원하지 않는다. 2024~2026년 광진구나 서울시의 유사 사업에서 지원받았거나 지원받을 예정인 업체, 휴·폐업 업체, 무점포 업체, 자가 사업장 운영 업체 등은 신청할 수 없다. 구는 현장 확인과 내부 심사를 거쳐 영업 기간, 업종, 사업장 면적, 연간 매출액 등을 종합적으로 고려해 지원 업체를 선정한다. 착한가격업소에는 가점을 부여한다. 신청은 28일까지 서울시 소상공인 종합지원 포털에서 하면 된다. 김경호 구청장은 “소상공인마다 경영 여건과 점포별 개선 과제가 다른 만큼 전문가의 현장 진단을 바탕으로 필요한 지원을 제공하고자 한다”며 “소상공인들이 쾌적한 영업환경에서 안정적으로 사업을 이어갈 수 있도록 실질적인 지원을 이어가겠다”고 말했다.

서울특별시의회 도시계획균형위원회 박희정 부위원장은 지난 26일 서울시의회 의원회관 제2대회의실에서 개최된 ‘서울시 옥외광고 제도개선 공청회’에 참석해, 옥외광고산업 활성화의 당위성에 공감하면서도 서울의 도시경관을 고려한 ‘전략적·단계적 접근’을 주문했다. 서울특별시 디자인정책관과 서울시의회 도시계획균형위원회가 공동 주최·주관한 이번 공청회는 ‘미디어가 지역 명소화에 미치는 영향’을 주제로, 옥외광고 관련 조례 개정안의 주요 쟁점을 점검하고 각계의 목소리를 수렴하기 위해 마련됐다. 현재 서울시는 ▲벽면 이용 간판의 타사광고(건물 입주업체 외 외부 기업 광고) 허용지역 확대 ▲특정구역 내 광고물 표시·설치기준 완화 범위 구체화 ▲광고물 최대 표시 면적 확대 등을 핵심 과제로 추진하고 있다. 이날 박 부위원장은 뉴욕 타임스스퀘어와 도쿄 시부야 등 대형 디지털 옥외광고가 지역을 명소화하고 경제에 활력을 불어넣은 긍정적 사례를 언급했다. 다만 “서울이 가진 고유의 역사성과 도시 미관에 미칠 파급효과를 면밀히 따져봐야 한다”며, “무분별한 규제 완화보다는 파급력이 큰 지역을 중심으로 광고 특화지역을 전략적으로 선별하는 지혜가 필요하다”고 강조했다. 특히 박 부위원장은 “서울의 25개 자치구 모두에 동일한 방식의 옥외광고 활성화가 적합한 것은 아니다”라며 “지역별 전략 없이 조례상 규제 기준을 지나치게 완화하면 향후 부작용이 발생하더라도 다시 규제하기 어려워질 수 있다”고 우려를 표명했다. 이어 미국 로스앤젤레스(LA)의 디지털 전광판 운영 중단 판결과 브라질 상파울루의 시각 공해 대응인 도시 전역 옥외광고 전면 금지 내용을 담은 ‘클린 시티 법’을 소개하며, 광고산업의 경제적 효과뿐 아니라 도시경관과 시민 생활환경에 미치는 영향을 종합적으로 검토해야 한다고 강조했다. 이번 정례회에서 논의될 조례 개정안과 관련해서는 광고물 최대 표시 면적을 2000㎡까지 확대하는 방안의 적정성과 공업지역으로의 타사광고 허용 범위 확대에 대한 신중한 검토를 주문했다. 박 부위원장은 “금천구처럼 공업지역과 주거지역이 혼재된 곳에서는 대형 전광판 설치가 주민 생활환경에 직접적인 영향을 미칠 수 있다”며 “우선 상업지역에 적용해 빛 공해와 주민 불편 등의 영향을 확인하고, 운영 효과를 검증한 뒤 공업지역으로 확대하는 단계적 접근이 필요하다”고 제안했다. 끝으로 박 부위원장은 “같은 옥외광고라도 누군가에게는 관광 명소이자 즐거운 볼거리이지만, 다른 이에게는 시각적 부담으로 다가올 수 있다”며 “옥외광고의 긍정적 효과와 부작용을 함께 고려해 서울의 도시경관과 시민의 쾌적한 생활환경이 조화를 이루는 방향으로 제도를 개선해야 한다”고 강조했다. 한편, ‘서울특별시 옥외광고물 등의 관리와 옥외광고산업 진흥에 관한 조례 일부개정조례안’은 지난 서울시의회 제338회 임시회 도시계획균형위원회 심사에서 추가 검토가 필요하다는 의견에 따라 심사가 보류된 바 있다. 이번 공청회는 조례 개정에 앞서 다양한 의견을 수렴하기 위해 마련됐다.

생성형 인공지능(AI)으로 대기업 계열사를 포함한 국내 업체 90여곳으로부터 개인정보와 사내 자료 약 820만건을 빼낸 뒤 피해 업체에 돈을 요구한 일당이 경찰에 붙잡혔다. 서울경찰청 사이버수사과는 정보통신망법 위반(정보통신망 침해 등) 및 공갈, 공갈미수 등 혐의로 A(32)씨를 지난 23일 구속 송치했다고 26일 밝혔다. A씨는 피해가 신고된 업체 15곳에서 개인정보 약 90만건을 탈취하고, 이를 활용해 업체들로부터 금전을 요구한 혐의를 받는다. 피해 업체에는 지난 8월 해킹 피해와 관련해 관계 기관 조사를 의뢰했던 롯데케미칼도 포함된 것으로 파악됐다. 경찰에 따르면 A씨는 블로그와 유튜브 영상 등을 통해 생성형 AI를 활용한 해킹 기술을 혼자 익혔다. 최근 금융권 대규모 해킹에 쓰인 것으로 알려진 ‘AI 자율침투 테스트 시스템’도 이번 범행에 쓰였다. A씨는 과거 한 보안 업체에서 모의해킹 업무를 맡았던 적은 있으나 IT 관련 전공자나 전문가는 아닌 것으로 파악됐다. A씨는 보안 메신저인 텔레그램을 활용해 조직적으로 범행했다. A씨는 해킹을 직접 수행하고 피해 업체에 협박성 이메일을 보내는 총책 업무를 맡았다. 공범인 B(24)씨는 텔레그램에서 모집한 가담자 5명을 이용해 전화와 문자 메시지로 ‘유출 사실이 외부에 알려지면 기업 이미지 실추, 당국의 조사, 과징금 부과, 고객의 소송 등으로 이어질 수 있다’는 취지로 피해 업체를 협박했다. 경찰은 일당이 최소 90개 업체에서 개인정보 약 820만건을 빼낸 것으로 보고 있다. 롯데케미칼을 포함해 학원, 병원, 골프장, 대학 등 다양한 업체가 피해 업체 명단에 이름을 올린 것으로 전해진다. 이 중 현재까지 38개 업체를 상대로 총 3억 6000만원 상당의 돈을 요구한 것으로 파악됐다. 한편 기업용 소프트웨어 업체인 더존비즈온에서 연이어 해킹 사고가 발생해 정부가 민관합동조사단을 꾸리고 조사에 들어갔다. 기업의 회계·인사정보 등을 관리하는 업체인 만큼 고객사로 피해가 확산할 가능성도 제기된다.

단순 명령 넘어 말의 의도 파악해2027년형 ‘리릭’에 우선 적용 예정현대차·벤츠·테슬라 등 기능 확대유료 기능·구독 서비스까지 연결 운전자가 자동차에 “실내 온도를 낮춰줘”라고 말하자 인공지능(AI)이 공조 장치를 조절한다. 또 “목적지까지 배터리가 충분할까”라고 묻자 남은 주행 가능 거리를 확인하고 충전소를 거치는 경로를 안내한다. GM은 지난 21일(현지시간) 미국 뉴욕에서 열린 ‘GM 포워드’ 행사에서 이런 방식으로 작동하는 차량용 AI 비서 ‘온스타 AI’를 공개했다고 26일 밝혔다. 온스타 AI는 음성으로 차량 기능을 조절하고 경고등의 의미와 차량 기능을 안내한다. 1996년부터 운영한 차량 연결 서비스 ‘온스타’와 연계해 AI가 해결하기 어려운 문제는 전문 상담원이 지원한다. 복잡한 대화는 구글 ‘제미나이’를 활용하지만 차량 제어는 GM 자체 소프트웨어가 맡는다. GM은 향후 수개월 내 2027년형 캐딜락 전기 스포츠유틸리티차(SUV) ‘리릭’에 온스타 AI를 무선 소프트웨어 업데이트(OTA)로 우선 적용한다. 내년에는 브랜드별 모바일 앱을 통합해 차량 상태 확인과 가족 이동 일정 조율, 차량 카메라를 활용한 안전 알림 등으로 서비스를 확대한다. 국내에도 도입되지만 시기는 미정이다. 차량용 AI 비서는 글로벌 완성차 업체들이 차세대 핵심 전장으로 꼽는 영역이다. 현대자동차그룹은 지난 5월 출시한 ‘더 뉴 그랜저’에 계열사 포티투닷의 AI 비서(글레오 AI)를 적용했다. 글레오 AI는 대화 맥락을 이해하고 여러 명령을 순서대로 처리한다. 현대차그룹은 2030년까지 글레오 AI를 약 2000만대에 확대 적용할 계획이다. 메르세데스 벤츠는 지난해 3월 공개한 신형 CLA에 마이크로소프트·구글의 AI 기술을 결합한 ‘MBUX 가상 비서’를 적용했다. 운전자의 연속된 질문에 답하고 주변 장소를 안내한다. 테슬라는 지난 7월 AI ‘그록’의 기능을 확대해 전화 걸기와 음악 재생, 실내 온도 조절 등을 지원한다. 중국 상하이자동차는 지난 23일 음성으로 여러 차량 기능을 조작할 수 있는 바이트댄스의 AI ‘더우바오’를 탑재한 SUV ‘로위 자웨 07’을 출시했다. AI 비서 경쟁에는 소비자 편의 기능 제공을 넘어 차량 데이터와 소프트웨어 서비스의 주도권 확보가 걸려 있다. 유료 소프트웨어 기능과 구독 서비스 등을 통해 추가 수익을 창출할 수 있어서다. 이에 하성용 한국자동차모빌리티안전학회장(중부대 교수)은 “완성차 업체들이 범용 AI는 외부 기술을 활용하더라도 차량 데이터와 고객 수요, 소프트웨어 명령 실행 체계는 자체적으로 확보하는 방향으로 가고 있다”고 설명했다.

압축 풀 때 서버 중단·해킹 위험 쇼핑몰 등 영향… 업데이트 권고 전 세계 웹사이트에서 널리 사용하는 프로그래밍 언어 ‘PHP’에 이어 서버 운영에 쓰이는 ‘Node.js’에서도 심각한 보안 취약점이 발견됐다. 해커가 이를 악용하면 비밀번호 없이도 외부에서 서버를 멈추거나 악성 프로그램을 실행할 수 있다. 보안 문제를 해결한 업데이트가 나왔지만, 이를 적용하지 않은 서버는 여전히 공격에 노출될 수 있어 주의가 필요하다. 26일 보안업계에 따르면 Node.js 개발진은 지난 21일 데이터 압축을 해제하는 기능에서 취약점을 확인하고 보안 패치를 배포했다. Node.js는 인터넷 쇼핑몰이나 각종 온라인 서비스에서 이용자의 요청을 처리하는 서버를 개발할 때 쓰이는 소프트웨어다. 이번 취약점은 서버가 외부에서 받은 압축 데이터를 풀어내는 과정에서 발생한다. 해커가 특수하게 조작한 데이터를 보내면 서버가 갑자기 멈추거나 악성 코드를 실행할 수 있다. 다만 서버의 설정과 데이터 처리 방식에 따라 실제 공격 가능성은 달라진다. 취약점을 발견한 곳은 오픈AI의 인공지능(AI) 코덱스 보안팀이다. 오픈AI는 AI 모델이 보안 통제를 우회할 가능성을 시험하는 과정에서 널리 쓰이는 데이터 압축 기술인 ‘브로틀리’의 결함을 찾아냈다. 브로틀리는 Node.js뿐 아니라 다양한 소프트웨어에서 사용하는 기술이다. Node.js 개발진은 취약점의 위험도를 ‘높음’으로 평가하고 이를 수정한 새 버전을 공개했다. 한국인터넷진흥원(KISA)도 사용자들에게 최신 버전으로 업데이트할 것을 권고했다. 국내 보안업체 티오리는 이날 취약점을 자체 검증하고, 인터넷 주소만 입력하면 노출 위험을 무료로 확인할 수 있는 ‘Node.js 가드’ 서비스를 선보였다.

운전자가 자동차에 “실내 온도를 낮춰줘”라고 말하자 인공지능(AI)이 공조 장치를 조절한다. 또 “목적지까지 배터리가 충분할까”라고 묻자 남은 주행 가능 거리를 확인하고 충전소를 거치는 경로를 안내한다. GM은 지난 21일(현지시간) 미국 뉴욕에서 열린 ‘GM 포워드’ 행사에서 이런 방식으로 작동하는 차량용 AI 비서 ‘온스타 AI’를 공개했다고 26일 밝혔다. 온스타 AI는 음성으로 차량 기능을 조절하고 경고등의 의미와 차량 기능을 안내한다. 1996년부터 운영한 차량 연결 서비스 ‘온스타’와 연계해 AI가 해결하기 어려운 문제는 전문 상담원이 지원한다. 복잡한 대화는 구글 ‘제미나이’를 활용하지만 차량 제어는 GM 자체 소프트웨어가 맡는다. GM은 향후 수개월 내 2027년형 캐딜락 전기 스포츠유틸리티차(SUV) ‘리릭’에 온스타 AI를 무선 소프트웨어 업데이트(OTA)로 우선 적용한다. 내년에는 브랜드별 모바일 앱을 통합해 차량 상태 확인과 가족 이동 일정 조율, 차량 카메라를 활용한 안전 알림 등으로 서비스를 확대한다. 국내에도 도입되지만 시기는 미정이다. 차량용 AI 비서는 글로벌 완성차 업체들이 차세대 핵심 전장으로 꼽는 영역이다. 현대자동차그룹은 지난 5월 출시한 ‘더 뉴 그랜저’에 계열사 포티투닷의 AI 비서(글레오 AI)를 적용했다. 글레오 AI는 대화 맥락을 이해하고 여러 명령을 순서대로 처리한다. 현대차그룹은 2030년까지 글레오 AI를 약 2000만대에 확대 적용할 계획이다. 메르세데스 벤츠는 지난해 3월 공개한 신형 CLA에 마이크로소프트·구글의 AI 기술을 결합한 ‘MBUX 가상 비서’를 적용했다. 운전자의 연속된 질문에 답하고 주변 장소를 안내한다. 테슬라는 지난 7월 AI ‘그록’의 기능을 확대해 전화 걸기와 음악 재생, 실내 온도 조절 등을 지원한다. 중국 상하이자동차는 지난 23일 음성으로 여러 차량 기능을 조작할 수 있는 바이트댄스의 AI ‘더우바오’를 탑재한 SUV ‘로위 자웨 07’을 출시했다. AI 비서 경쟁에는 소비자 편의 기능 제공을 넘어 차량 데이터와 소프트웨어 서비스의 주도권 확보가 걸려 있다. 유료 소프트웨어 기능과 구독 서비스 등을 통해 추가 수익을 창출할 수 있어서다. 이에 하성용 한국자동차모빌리티안전학회장(중부대 교수)은 “완성차 업체들이 범용 AI는 외부 기술을 활용하더라도 차량 데이터와 고객 수요, 소프트웨어 명령 실행 체계는 자체적으로 확보하는 방향으로 가고 있다”고 설명했다.

중국과의 해양 경쟁에 나선 미국이 한국 조선업에 손을 내밀고 있다. 한화는 인수한 미국 조선소에 한국의 생산기술을 접목하고, HD현대는 현지 기업과 새 조선소 건설을 추진한다. 쇠퇴한 조선업을 되살려 해군 함정 건조 기반을 넓히려는 도널드 트럼프 행정부 구상에서 한국 기업의 역할이 커지고 있다. 월스트리트저널(WSJ)은 25일(현지시간) 한국과 한화를 미국 조선업 재건을 이끄는 핵심 외부 주체로 조명했다. 미국의 조선업 부흥 법안을 추진하는 데이브 맥코믹 공화당 상원의원이 최근 찾은 곳도 경남 거제의 한화오션 조선소였다. 그곳에서는 대형 크레인이 선박 구조물을 옮기고 자동화 장비가 두꺼운 강판을 잘랐다. 로봇팔은 엔진과 배관 부품에 볼트를 체결했다. WSJ은 거제 조선소가 미국의 어느 시설보다 규모가 크고 기술적으로 앞서 있다고 평가했다. 미국이 동맹국의 도움이 필요한 이유는 생산 기반의 격차다. WSJ에 따르면 미국의 세계 선박 건조 비중은 1%에도 못 미친다. 중국의 조선 능력은 미국의 230배를 넘는다. 이는 전체 선박 건조 능력을 비교한 수치로, 군함 수나 해군 전력의 격차를 뜻하지는 않는다. 한국 로봇·용접장비로 미국 조선소 바꾼다 한화는 2024년 12월 필리조선소를 인수한 뒤 시설 개선에 약 3억 5000만 달러(약 4630억원)를 투입했다. 내년 말까지 추가로 4억 달러를 투자하는 계획도 승인했으며, 장기적으로 수십억 달러를 더 투입할 방침이다. 한국의 장비와 작업 방식도 도입한다. 가상현실 장비를 활용해 도장 작업 등을 훈련하고, 내년에는 용접 장비 수십 대를 추가할 예정이다. 한국 조선소에서 사용하는 협동 로봇 일부도 필리조선소에 설치할 계획이다. 기존 조선소 현대화와 함께 추가 생산 거점 확보도 추진한다. 한화는 지난 8월 앨라배마주 모빌의 오스탈USA 인수를 위한 비구속적 제안을 제출했다. 오스탈은 이달 14일 한화 측의 실사 기간을 연장하고 거래조건 협상에 들어갔다고 밝혔다. 인수는 아직 확정되지 않았다. HD현대는 미국 건설·엔지니어링 기업 키위트와 새 조선소 건설을 추진한다. 양사는 22일 조선 합작법인 설립 계획을 발표했다. 기존 산업 부지에 2027년 착공해 2029년 본격 가동하는 것이 목표다. 디지털 트윈과 자동화 생산, 로봇 용접 기술을 적용하고, 완전 가동 시 최대 3000명의 일자리를 창출한다는 구상이다. 브레이킹디펜스에 따르면 새 조선소는 미 해군 보조함과 상선뿐 아니라 미국 조선업체에 공급할 선박 블록·모듈도 생산할 계획이다. 구체적인 부지와 투자액은 공개되지 않았다. 투자 늘려도…한국서 미 군함 건조는 별개 한국 기업의 미국 진출이 곧바로 한국 조선소의 미 해군 함정 수주로 이어지는 것은 아니다. 미국은 현행법상 일부 예외를 제외하면 해군 함정을 자국에서 건조하도록 한다. 트럼프 행정부는 미국 조선소 신설·인수와 현지 인력 양성, 기술 이전 등을 조건으로 일부 함종의 초기 2척을 해외에서 건조하고 후속 물량은 미국에서 만드는 방식을 추진하고 있다. 다만 의회에서는 이견이 남아 있다. WSJ에 따르면 하원의 국방예산 법안은 해외 조선소에서 건조한 전투함에 대한 자금 지원을 막는 내용을 담았다. 상원에서는 일부 비전투함에 한해 조약 동맹국 조선소를 활용하도록 제한적으로 허용하는 방안이 제시됐다. 미국 현지 생산에도 과제가 있다. 필리조선소는 높은 생산비와 공급업체 부족, 부지 제약을 겪고 있다. 한화는 2028년까지 전투함 건조에 필요한 인증 시설을 갖추는 것을 목표로 하지만, 이는 전투함 수주나 인도가 확정됐다는 의미는 아니다. 결국 추가 투자를 뒷받침할 장기 주문이 필요하다. 맥코믹 의원은 WSJ에 “조선업에 진지하게 나서려면 장기적인 약속을 해야 한다”고 말했다.

중국 전기차 업체들이 경영난으로 잇따라 문을 닫거나 운영을 중단하면서 차주들이 수리에 어려움을 겪고 있다. 고장이 나도 맡길 정비소를 찾기 어렵고, 새 부품을 구하지 못해 폐차에서 떼어낸 중고 부품에 의존하는 경우도 생겼다. 24일 중국 환치우망은 제조사의 파산이나 생산·서비스 중단으로 사후 관리에 어려움을 겪는 신에너지차가 수십만 대에 이른다고 전했다. 앞서 펑파이신문은 올해 5월까지 파산·청산 절차에 들어가거나 사실상 운영을 멈춘 중국 신에너지차 업체가 23곳이며, 이들 업체의 누적 판매량은 약 85만대라고 보도했다. 중국에서는 제조사의 지원이 끊긴 차량을 ‘고아차’라고 부른다. 한때 대규모 투자를 받으며 주목받던 업체들이 멈춰 서자, 이미 차를 구매한 소비자들이 정비와 부품 조달을 걱정해야 하는 처지가 된 것이다. 웨이마와 네타, 하이파이 등의 차량에서는 교체 부품을 구하기 어려운 사례가 보고됐다. 고장이나 사고로 수리가 필요해도 새 부품이 없어 다른 차량에서 떼어낸 부품을 찾아야 한다. 이마저 언제 구할 수 있을지 알 수 없어 수리 일정도 잡기 어렵다. 전기차주들이 모인 온라인 커뮤니티의 관심사도 달라졌다. 주행거리나 첨단 운전자 보조 기능보다 “어느 정비소에서 이 차를 고칠 수 있느냐”, “믿을 만한 부품은 어디서 구하느냐”가 더 시급한 질문이 됐다. 중국의 자동차 판매 관리 규정은 공급업체가 생산이나 판매를 중단한 차종을 공개하고, 이후 최소 10년간 부품과 사후 서비스를 제공하도록 하고 있다. 그러나 업체가 경영난으로 운영을 멈추면 차주들이 이런 보장을 받기는 쉽지 않다. 부품 구해도 수리 못 한다…제조사 인증에 막힌 정비부품을 구한다고 문제가 모두 해결되는 것도 아니다. 전기차는 배터리와 구동모터, 전자제어장치가 서로 연결돼 있어 고장 원인을 확인하거나 교체 부품을 작동시키는 데 제조사의 전용 장비와 인증이 필요한 경우가 있다. 인증업체 한 관계자는 일부 제조사가 배터리 관리 시스템을 암호화해 외부 정비업체의 접근을 제한한다고 설명했다. 전용 진단 장비나 인증키가 없으면 고장 정보를 읽지 못하거나, 부품을 교체해도 차량 시스템에 이를 인식시키지 못할 수 있다는 것이다. 내연기관차는 오랜 기간 형성된 부품 유통망과 독립 정비업체를 통해 대체 부품이나 중고품으로 수리할 여지가 있다. 반면 제조사의 기술 지원에 의존하는 전기차는 공식 서비스망이 끊기면 외부 정비소에서도 수리를 맡기 어렵다. 잦은 배터리 설계 변경도 부품 부족의 원인으로 지목됐다. 광둥성 사회정책연구회 관계자는 일부 업체가 비용 변화에 따라 한 해에도 여러 차례 배터리 구성을 바꾼다고 설명했다. 새 모델 생산에 맞춰 설비를 전환하는 과정에서 이전 차량에 쓰이던 배터리 모듈과 관련 부품의 생산이 함께 중단될 수 있다는 것이다. 공식 서비스센터를 찾지 못한 차주들은 온라인 쇼핑몰과 중고 거래망을 뒤져야 한다. 필요한 부품이 드물고 구할 수 있는 곳도 제한돼 비용 부담까지 커진다. 전문 정비 인력도 부족하다. 전기차 배터리를 수리하려면 고전압 작업에 따른 감전 위험 등에 대비해야 한다. 기존의 기계 정비 기술뿐 아니라 배터리와 전자제어 시스템에 대한 지식, 전용 진단 장비를 다루는 능력도 필요하다. 업계에서는 직업교육기관과 정비업체가 협력해 배터리·구동계 진단과 고전압 안전 등 실무교육을 확대해야 한다고 요구하고 있다. 중국 당국도 사후 서비스를 강화하기 위한 제도 보완을 추진 중이다. 하지만 이미 제조사의 지원이 끊긴 차주들은 당장 차를 고칠 정비소와 부품부터 직접 찾아야 하는 상황이다.

일본 미야자키현 휴가시의 한 동네 빵집. 수십 년간 지역 주민들의 사랑을 받아온 이 빵집은 매일 아침 따끈한 빵을 사려는 손님들로 붐볐고, 경영 상태 역시 매년 견실한 흑자를 유지하고 있었다. 그러나 지난 2024년 6월 말, 이 빵집은 문을 닫았다. 경영 악화나 매출 감소 때문만이 아니었다. 80대에 접어든 사장의 건강이 악화됐지만, 가업을 이어받을 자녀가 없었고 주변에서도 가게를 매수하겠다는 사람을 찾지 못했기 때문이다. 이 단면은 2024년 9월 28일 일본 공영방송 NHK가 방송한 ‘대폐업 시대를 막는 비책’에 소개되며 일본 사회에 충격을 안겼다. 실적이 양호하고 장사가 잘되는데도 경영자의 고령화와 후계자 부재로 사업을 접어야 하는 이른바 ‘흑자 폐업’의 대표적인 사례였다. 문제는 그로부터 수년이 지난 2026년 현재, 이러한 비극이 일상화되는 것은 물론 백년 역사를 자랑하는 ‘노포(老鋪) 기업’의 도산으로까지 확산하고 있다는 점이다. 니혼게이자이신문(닛케이)의 최근 보도에 따르면, 민간 신용조사업체 데이코쿠데이터뱅크가 집계한 2026년 1~8월 창업 100년 이상 노포 기업의 도산 건수는 112곳에 달했다. 이는 전년 동기 대비 24%나 급증한 수치이자, 비교 가능한 데이터가 있는 2007년 이후 동기 기준 가장 많은 수치다. 도산한 노포 기업을 업종별로 보면 제조업이 34곳으로 가장 많았고, 도매업(24곳), 소매업(22곳)이 그 뒤를 이었다. 특히 전체 도산 건수의 절반인 56곳은 부채 규모가 1억엔(약 8억 5,000만원) 미만인 소규모 도산이었다. 오랜 세월 지역 경제의 버팀목 역할을 해온 작지만 강한 알짜 기업들이 고령화와 고물가, 구인난의 삼중고를 견디지 못하고 스러지고 있는 셈이다. 일본 정부와 전문가들이 경고해온 ‘2025년 대폐업 위기’는 2026년 현재 현실화 단계에 접어들었다. 일본 정부가 과거 ‘2025년 문제’의 핵심 지표로 제시했던 추계에 따르면, 2025년을 기점으로 일본 전체 중소기업 및 소규모 사업 경영자의 3분의 2에 해당하는 약 245만명이 70세 이상이 될 것이라고 추산했다. 세부적으로는 법인 경영자가 약 93만명, 개인사업자가 약 152만명이다. 더 큰 문제는 이들 245만명의 고령 경영(사업)자 중 절반 수준인 127만명이 후계자를 구하지 못했으며, 이 중 62만개사가 ‘흑자 폐업’ 위기에 직면해 있다는 점이다. 기업이 폐업하면 단순히 개별 업체 하나가 사라지는 것에 그치지 않는다. 숙련된 기술과 노하우가 소실되고, 양질의 일자리가 감소하며, 공급망이 붕괴되어 국가 경제 전체에 막대한 손실을 입힌다. 닛케이는 “초고령화 심화 속에서 코로나19 사태 이후의 원자재 가격 상승과 인력난, 디지털화(DX) 대응 미비 등 급격한 경영환경 변화를 고령의 사업자가 혼자 감당하지 못하고 사업 인수를 포기하는 사례가 늘고 있다”고 분석했다. 이 같은 ‘사업체 소멸’ 위기를 막기 위해 일본이 주목하고 있는 최선책은 제3자 인수합병(M＆A)을 통한 외부 사업승계다. 과거에는 친인척이나 내부 임직원에게 가업을 물려주는 것이 일반적이었지만, 저출생으로 자녀가 없거나 자녀가 가업 승계를 거부하는 경우가 많아지면서 외부 M＆A가 현실적인 대안으로 부상했다. 일본 M＆A센터 홀딩스(HD) 미야케 타쿠루 사장은 닛케이와의 인터뷰에서 “과거에는 경영자가 건강하면 승계 준비를 미루는 경향이 강했고, 친인척이 아닌 제3자에게 회사를 넘기는 M＆A에 대한 거부감이 컸다”며 “그러나 최근에는 자금 여력이 있고 디지털 역량을 갖춘 젊은 경영자나 상장사에 알짜 중소기업을 매각해 기업의 생존을 도모하는 M＆A가 활성화되고 있다”고 밝힌 바 있다. 실제로 일본은 정부 차원의 ‘경영승계원활화법’ 제정과 세제 혜택, M＆A 중개 플랫폼 지원 등을 통해 M＆A 시장은 최근 연간 4,000~5,000건 규모로 확대됐으며, 중소기업에서도 사업승계를 목적으로 한 제3자 M＆A가 주요 선택지로 자리 잡고 있다. 일본이 겪고 있는 흑자 폐업과 노포 위기는 결코 남의 나라 이야기가 아니다. 한국 역시 세계에서 가장 빠른 속도로 초고령사회에 진입하고 있으며, 중소기업과 소상공인 경영(사업)자의 고령화 지표는 이미 경고등이 켜진 상태다. 중소벤처기업부 및 통계청 자료에 따르면, 한국의 60대 이상 중소기업 대표 비중은 매년 최고치를 경신하고 있다. 중소벤처기업부의 2024년 기준 중소기업 기본 통계에 따르면 대표자가 60대 이상인 중소기업은 269만3382개로 전체의 31.7%를 차지했다. 제조·뿌리산업을 비롯해 지역 상권을 떠받치는 수많은 소상공인과 자영업자들이 후계자를 찾지 못해 고민하고 있다. 특히 한국은 가업상속공제 등 친족 승계 중심의 정책에 의존해온 경향이 강해 친족 승계가 불가능해진 기업이 외부 제3자에게 사업을 넘길 수 있는 M＆A 생태계는 상대적으로 열악한 실정이다. 전문가들은 한국도 흑자 기업의 허무한 폐업과 노하우 단절을 막기 위해서는 일본의 사례를 반면교사 삼아야 한다고 입을 모은다. 업계 관계자는 “한국 역시 수십 년간 고용을 창출하고 독자적인 기술을 축적해온 우수한 중소·소상공인들이 고령화와 후계 부재라는 벽에 부딪혀 있다”며 “기업의 폐업은 국가적 자산의 손실인 만큼, 제3자 M＆A를 활성화할 수 있도록 세제 혜택을 확대하고 전문 중개 인프라를 구축하는 등 선제적인 정책 정비가 시급하다”고 강조했다.

생성형 인공지능(AI)으로 대기업 계열사를 포함한 국내 업체 90여곳으로부터 개인정보와 사내 자료 약 820만건을 빼낸 뒤 피해 업체에 돈을 요구한 일당이 경찰에 붙잡혔다. AI 기술이 발전하면서 정보기술(IT)에 전문성이 없는 사람도 대규모 해킹 범죄를 저지를 수 있게 됐다는 점에서 우려의 목소리가 나온다. 서울경찰청 사이버수사과는 정보통신망법 위반(정보통신망 침해 등) 및 공갈, 공갈미수 등 혐의로 A(32)씨를 지난 23일 구속 송치했다고 26일 밝혔다. A씨는 피해가 신고된 업체 15곳에서 개인정보 약 90만건을 탈취하고, 이를 활용해 업체들로부터 금전을 요구한 혐의를 받는다. 피해 업체에는 지난 8월 해킹 피해와 관련해 관계 기관 조사를 의뢰했던 롯데케미칼도 포함된 것으로 파악됐다. 경찰에 따르면 A씨는 블로그와 유튜브 영상 등을 통해 생성형 AI를 활용한 해킹 기술을 혼자 익혔다. 최근 금융권 대규모 해킹에 쓰인 것으로 알려진 ‘AI 자율침투 테스트 시스템’도 이번 범행에 쓰였다. A씨는 과거 한 보안 업체에서 모의해킹 업무를 맡았던 적은 있으나 IT 관련 전공자나 전문가는 아닌 것으로 파악됐다. A씨는 보안 메신저인 텔레그램을 활용해 조직적으로 범행했다. A씨는 해킹을 직접 수행하고 피해 업체에 협박성 이메일을 보내는 총책 업무를 맡았다. 공범인 B(24)씨는 텔레그램에서 모집한 가담자 5명을 이용해 전화와 문자 메시지로 ‘유출 사실이 외부에 알려지면 기업 이미지 실추, 당국의 조사, 과징금 부과, 고객의 소송 등으로 이어질 수 있다’는 취지로 피해 업체를 협박했다. 경찰은 일당이 최소 90개 업체에서 개인정보 약 820만건을 빼낸 것으로 보고 있다. 롯데케미칼을 포함해 학원, 병원, 골프장, 대학 등 다양한 업체가 피해 업체 명단에 이름을 올린 것으로 전해진다. 이 중 현재까지 38개 업체를 상대로 총 3억 6000만원 상당의 돈을 요구한 것으로 파악됐다. 경찰은 일당이 협박한 업체나 요구 금액이 더 있는지, 협박받거나 금전을 지급하고도 신고하지 않은 피해 업체가 더 있는지 등을 확인하고 있다. A씨와 같은 비전문가도 AI를 활용해 다수의 기업을 상대로 대규모 해킹이 가능하다는 점에서 우려가 커지고 있다. AI가 해킹 범죄의 진입 장벽을 대폭 낮추면서 사이버 범죄 대응의 패러다임이 대폭 바뀌어야 한다는 경고가 나온다. 김명주 인공지능안전연구소장은 “해킹에 AI가 사용되었다는 사실 자체보다, AI의 확산 속도에 맞추어 우리 사회의 사이버보안 역량도 함께 높여야 한다는 점을 시사하는 사건”이라고 강조했다.

- 금감원, 중소금융업권과 준법제보 활성화 방안 마련…포상금 한도 최대 10억원- 레드휘슬, 외부 익명 제보채널 ‘헬프라인’ 운영…익명 소통·신고정보 관리 지원 저축은행·상호금융·카드·캐피탈 등 중소금융업권의 준법제보 체계가 개편된다. 익명 제보채널 도입과 제보자 보호 강화, 포상금 한도 확대 등을 통해 금융사고 예방과 내부통제의 실효성을 높이는 것이 주요 내용이다. 금융감독원이 중소금융업권 중앙회·협회 등과 함께 마련한 ‘준법제보 활성화 방안’에는 익명 제보채널 도입, 제보자 보호조치 강화, 포상금 확대, 정기적인 제도 점검과 교육·홍보 등이 포함됐다. 개편된 제도는 저축은행의 경우 10월 1일, 상호금융은 10월 19일부터 시행됐다. 카드·캐피탈 등 여신전문금융회사는 11월 1일부터 시행한다. 향후 금융회사 검사 과정에서는 준법제보 제도 운영과 관련한 업무처리의 적정성도 점검될 예정이다. 이번 개편에는 익명 제보채널이 전면 도입되고 변호사를 통한 대리제보도 허용된다. 제보할 수 있는 사람도 현직 임직원뿐 아니라 퇴직자와 외부인까지 확대되며, 제보자에 대한 7대 불이익조치를 금지하고 포상금 한도도 업권과 회사 규모 등에 따라 최대 10억원 또는 5억원으로 확대한다. 이에 따라 금융회사들은 기존 내부신고 채널과 관련 운영기준을 점검하고, 제보자가 신분 노출에 대한 우려를 줄이면서 이용할 수 있도록 제보 접수와 처리 절차를 정비할 필요가 있다. 준법제보 채널의 운영 방식으로는 자체 시스템을 구축하거나 외부 전문업체의 서비스를 활용하는 방식이 있다. 외부 서비스를 이용하는 경우에도 제보 접수 이후의 정보 접근권한과 처리 절차, 담당자와 제보자 간 소통 방식 등을 함께 살펴야 한다. 익명 준법제보 시스템 전문기업 레드휘슬 관계자는 “실효성 있는 익명 제보를 위해서는 제보자의 신원을 보호하는 것뿐 아니라 익명 상태에서도 담당자와 지속적으로 소통할 수 있어야 한다”며 “민감한 신고정보에 대한 접근권한 통제와 안전한 정보관리 등 제보 전 과정에서 익명성과 보안이 함께 확보돼야 한다”고 말했다. 레드휘슬은 금융기관·공공기관·기업 등이 별도 시스템 개발 없이 이용할 수 있는 외부 익명 준법제보 채널 ‘헬프라인’을 운영하고 있다. 익명 양방향 소통, 신고정보 암호화, 접근권한 통제를 지원하고, 내부규정 정비와 익명 제보자에 대한 보상금 지급 지원, 임직원 홍보·교육 등의 서비스도 제공한다. 레드휘슬은 은행과 저축은행, 캐피탈, 카드, 증권, 보험, 자산운용사 등 금융권에서 헬프라인을 운영해 왔다. 회사 측은 국내 8개 주요 은행계 금융지주 가운데 7개 지주에 서비스를 제공하고 있다고 밝혔다. 신한은행, 우리은행, 하나은행, NH농협은행 등 주요 시중은행을 비롯해 저축은행, 캐피탈, 카드, 증권, 보험, 자산운용사 등에서 해당 시스템을 활용 중이다. 이번 제도 개편과 직접 관련된 중소금융업권에서도 KB저축은행, 우리금융저축은행, KB캐피탈, 하나캐피탈, 우리금융캐피탈, iM캐피탈, 우리카드 등이 레드휘슬 서비스를 이용하고 있다. 레드휘슬 관계자는 “다양한 금융기관의 준법제보 시스템 운영 경험을 바탕으로 저축은행과 캐피탈·카드사에서도 독립성과 익명성을 갖춘 실효성 있는 준법제보 체계를 구축할 수 있도록 지원하겠다”고 밝혔다.

메모리 부족 문제 수정·중단 반복“PHP 직원 15명, 세계 웹 70% 지탱”패치 사전 유출 등 사후 대응 미비北 해킹 세력, 韓 표적 공격 징후도KISA “추가 취약점 발견돼 주의를” 웹사이트용 프로그래밍 언어 ‘PHP’의 보안 취약점 발견으로 전 세계가 발칵 뒤집혀 긴급 대응에 나섰지만, 전후 대응 과정에서도 잇따라 허점이 드러났다. 취약점 수정 지연, 관리 조직의 인력 부족, 패치 정보의 사전 유출, 서비스 복구 지연 등 사실상 ‘인재’였다는 지적도 나온다. 25일 업계에 따르면 인공지능(AI)이 취약점을 찾아내는 속도는 빨라진 반면, 보안 허점을 수정하고 확산을 막는 조직의 대응 역량은 뒤처지면서 보안 위험이 높아지고 있다. PHP 개발팀이 앞서 발표한 보안 취약점 ‘PHP2Shell’도 초기 징후가 발견된 지 약 2년 만에야 세상에 모습을 드러냈다. PHP 개발팀은 “2024년 수년 만에 처음으로 외부 감사를 받았고, 이번 취약점의 원인이 되는 메모리 부족(OOM) 문제의 초기 징후를 확인했다”며 “OOM 상황에서 공격 가능성이 제기됐지만 구체적인 공격 경로가 발견되지 않았고 의사 결정 과정에 어려움이 생기며 수정 작업이 수개월간 중단되고 재개되길 반복했다”고 밝혔다. PHP를 관리하는 조직의 대응 역량 부족도 겹쳤다. 인도 매체 ‘인디안 익스프레스’는 25일(현지시간) “전 세계 웹사이트의 최대 70%를 지탱하는 PHP의 비영리 재단은 매우 빠듯한 예산으로 운영되고 있다”며 “정규직 직원 한 명과 시간제 계약직 직원 14명으로 구성돼 있다”고 지적했다. 이에 PHP 개발팀은 “수정 작업 지연은 보안팀의 의사 결정 과정과 자원 부족이라는 구조적인 문제에서 비롯된 것임을 부인할 수 없다”고 인정했다. 긴급 패치 배포 과정에서는 보안업계의 단일 대오가 무너졌다. 패치 배포업체인 ‘체인가드’가 예정시간보다 약 6시간 이상 먼저 패치가 적용된 이미지를 기습 공개했고, 보안업체 ‘캘리프’도 실수로 ‘해당 취약점을 이용한 공격 시연 영상’을 온라인에 게시했다가 삭제했다. 이를 통해 해커들이 공격 도구를 개발하는 데 필요한 정보가 빠르게 확산된 것으로 알려졌다. 아마존웹서비스(AWS)는 PHP의 취약점이 공개되기 나흘 전인 지난 17일부터 관련 공격 시도를 관측했다고 밝혔다. 클라우드플레어도 취약점 공개 이후 공격 시도가 수백만 건으로 급증했다고 설명했다. PHP 취약점에 대한 패치가 배포된 이후 각국 정부는 중단했던 서비스를 속속 복구하며 보안 업데이트에 나섰지만 해킹 위협과 이용자 불편은 계속되고 있다. 일본 소프트뱅크는 보안 점검을 위해 서비스를 중단한 지 이틀 만인 25일 오전에 지진·쓰나미 긴급 경보 서비스를 재개했지만 지방자치단체가 발송하는 재난·대피 정보는 여전히 제공되지 않고 있다. 프랑스 통신사 오랑주 역시 계열사 웹사이트와 앱 일부를 차단했다가 순차적으로 복구하고 있다. 한국을 비롯해 특정 국가와 산업을 겨냥한 표적 공격 움직임도 감지됐다. 보안업체 사이퍼마는 23일 북한 해킹조직 라자루스와 연계가 의심되는 세력이 한국·미국·일본 등의 정부기관과 은행을 우선 공격 대상으로 삼고 있다고 밝혔다. 제조업과 물류·항공·온라인 거래업체도 공격 후보에 올랐다. 다만 실제 침투 여부와 북한 조직과의 연관성은 확인되지 않았다. 한국인터넷진흥원(KISA)은 전날 추가 보안 공지를 통해 PHP 개발팀이 기존에 공개한 2건 외에 새로운 원격 코드 실행 취약점을 발표했다며 주의를 당부했다.

웹사이트용 프로그래밍 언어 ‘PHP’의 보안 취약점 발견으로 전 세계가 발칵 뒤집혀 긴급 대응에 나섰지만, 전후 대응 과정에서도 잇따라 허점이 드러났다. 취약점 수정 지연, 관리 조직의 인력 부족, 패치 정보의 사전 유출, 서비스 복구 지연 등 사실상 ‘인재’였다는 지적도 나온다. 25일 업계에 따르면 인공지능(AI)이 취약점을 찾아내는 속도는 빨라진 반면, 보안 허점을 수정하고 확산을 막는 조직의 대응 역량은 뒤처지면서 보안 위험이 높아지고 있다. PHP 개발팀이 앞서 발표한 보안 취약점 ‘PHP2Shell’도 초기 징후가 발견된 지 약 2년 만에야 세상에 모습을 드러냈다. PHP 개발팀은 “2024년 수년 만에 처음으로 외부 감사를 받았고, 이번 취약점의 원인이 되는 메모리 부족(OOM) 문제의 초기 징후를 확인했다”며 “OOM 상황에서 공격 가능성이 제기됐지만 구체적인 공격 경로가 발견되지 않았고 의사 결정 과정에 어려움이 생기며 수정 작업이 수개월간 중단되고 재개되길 반복했다”고 밝혔다. PHP를 관리하는 조직의 대응 역량 부족도 겹쳤다. 인도 매체 ‘인디안 익스프레스’는 25일(현지시간) “전 세계 웹사이트의 최대 70%를 지탱하는 PHP의 비영리 재단은 매우 빠듯한 예산으로 운영되고 있다”며 “정규직 직원 한 명과 시간제 계약직 직원 14명으로 구성돼 있다”고 지적했다. 이에 PHP 개발팀은 “수정 작업 지연은 보안팀의 의사 결정 과정과 자원 부족이라는 구조적인 문제에서 비롯된 것임을 부인할 수 없다”고 인정했다. 긴급 패치 배포 과정에서는 보안업계의 단일 대오가 무너졌다. 패치 배포업체인 ‘체인가드’가 예정시간보다 약 6시간 이상 먼저 패치가 적용된 이미지를 기습 공개했고, 보안업체 ‘캘리프’도 실수로 ‘해당 취약점을 이용한 공격 시연 영상’을 온라인에 게시했다가 삭제했다. 이를 통해 해커들이 공격 도구를 개발하는 데 필요한 정보가 빠르게 확산된 것으로 알려졌다. 아마존웹서비스(AWS)는 PHP의 취약점이 공개되기 나흘 전인 지난 17일부터 관련 공격 시도를 관측했다고 밝혔다. 클라우드플레어도 취약점 공개 이후 공격 시도가 수백만 건으로 급증했다고 설명했다. PHP 취약점에 대한 패치가 배포된 이후 각국 정부는 중단했던 서비스를 속속 복구하며 보안 업데이트에 나섰지만 해킹 위협과 이용자 불편은 계속되고 있다. 일본 소프트뱅크는 보안 점검을 위해 서비스를 중단한 지 이틀 만인 25일 오전에 지진·쓰나미 긴급 경보 서비스를 재개했지만 지방자치단체가 발송하는 재난·대피 정보는 여전히 제공되지 않고 있다. 프랑스 통신사 오랑주 역시 계열사 웹사이트와 앱 일부를 차단했다가 순차적으로 복구하고 있다. 한국을 비롯해 특정 국가와 산업을 겨냥한 표적 공격 움직임도 감지됐다. 보안업체 사이퍼마는 23일 북한 해킹조직 라자루스와 연계가 의심되는 세력이 한국·미국·일본 등의 정부기관과 은행을 우선 공격 대상으로 삼고 있다고 밝혔다. 제조업과 물류·항공·온라인 거래업체도 공격 후보에 올랐다. 다만 실제 침투 여부와 북한 조직과의 연관성은 확인되지 않았다. 한국인터넷진흥원(KISA)은 전날 추가 보안 공지를 통해 PHP 개발팀이 기존에 공개한 2건 외에 새로운 원격 코드 실행 취약점을 발표했다며 주의를 당부했다.

한미 양국이 조선 협력 프로젝트 ‘마스가’(MASGA)를 추진 중인 가운데 한화의 미국 조선소 인수에 이어 HD현대가 신규 조선소를 짓기로 하면서 생산기지 확보가 구체화하고 있다. 국내 조선사들의 미국 진출에도 속도가 붙을 전망이다. HD현대는 23일 미국 최대 건설·엔지니어링·인프라 기업 ‘키윗’과 손잡고 미국에 신규 조선소를 짓기로 했다고 밝혔다. 그간 미국 내 기존 조선소 인수와 지분 투자, 신규 조선소 설립 등을 놓고 고심하던 HD현대가 신규 조선소 건설을 통해 미국 내 생산 거점을 구축하기로 방향을 잡은 것이다. 업계 관계자는 “매물로 나온 미국 조선소들은 몸값이 높아진 상태인데 노후화 되어 인수를 하더라도 효율이 떨어지는 경우가 많다”며 “새로운 조선소를 짓는 편이 낫다고 판단한 것으로 보인다”고 말했다. 신규 조선소는 2027년 착공에 들어가 2029년부터 가동에 돌입하는 것이 목표다. 현재 미국 남부와 서부 지역 복수의 후보지 평가를 진행하고 있으며 이르면 연내 부지를 최종 확정할 것으로 알려졌다. 최종 투자 규모도 이에 맞춰 결정될 전망이다. 지분 구조 역시 아직 확정되지는 않았으나 HD현대가 50% 이상을 확보할 예정이다. 이는 도널드 트럼프 미국 대통령이 지난 8월 미국에 투자한 조선업체가 본국에서 미 해군 선박을 최대 2척 건조할 수 있도록 허용하는 각서에 서명한 데 따른 것이다. 이 적용을 받으려면 지분 50% 이상 확보해 미국에 새로운 조선소를 건설하거나 미국 내 조선소를 인수해야 한다. 2024년 한발 앞서 미국에 진출한 한화그룹은 필리조선소를 현지 조선업 재건의 핵심 거점으로 구축하고 있다. 한화는 1억 달러(약 1450억원)를 투자해 필라델피아 필리조선소를 인수했으며, 지난해 8월에는 마스가의 일환으로 필리조선소에 50억달러(7조원)를 추가 투자한다고 발표했다. 한화오션의 자동화 설비와 스마트 야드, 안전 시스템을 도입해 액화천연가스(LNG) 운반선을 만들고, 함정 블록 및 모듈 공급, 함정 건조도 진행할 계획이다. 한화는 설비투자를 통해 연간 1~1.5척 수준인 선박 건조 능력을 20척까지 확대한다는 방침이다. 아울러 한화는 호주 조선·방산 기업 오스탈의 미국 사업부인 오스탈USA 인수도 추진 중이다. 관건은 이런 투자 확대가 실질적인 사업 성과로 연결될 수 있는지 여부다. 숙련 인력과 안정적인 공급망을 갖추고 생산성을 끌어올리기까지는 상당한 시간과 비용이 필요하기 때문이다. 안정적인 발주 물량 확보도 숙제다. 한화 필리조선소의 경우 인수 이후 미국 정부와 그룹 계열사 물감을 제외한 외부 민간 고객으로부터 확보한 일감은 아직 없는 것으로 알려졌다. 미국 조선업의 높은 건조 원가와 제한적인 생산 역량도 수익성 확보를 위해 풀어야 할 과제다. 조선업계 관계자는 “결국 인력과 기술력이 현장에 잘 안착되는지, 지속 가능한 사업 구조가 만들어질지가 성공의 관건이 될 것”이라고 말했다.

미국 테슬라가 휴머노이드 로봇 ‘옵티머스’의 대량생산용 라인을 가동하며 상업용 제품의 초기 생산에 들어갔다. 현대자동차그룹도 ‘아틀라스’ 양산체계 구축에 속도를 내면서 글로벌 피지컬 인공지능(AI) 시장의 양대산맥이 주도권 경쟁에 본격 나섰다. 테슬라는 21일(현지시간) 3분기 실적 발표에서 미국 캘리포니아주 프리몬트 공장에서 옵티머스 생산을 시작했다고 밝혔다. 지난 5월 단종한 고급 전기차 모델S·X 생산시설을 로봇 생산설비로 전환한 것이다. 테슬라는 상업용 제품에 적합한 제조공정에서 첫 양산 품질 수준의 로봇을 생산했다고 설명했지만 생산량은 공개하지 않았다. 일론 머스크 테슬라 최고경영자(CEO)는 내년 말 외부 고객에 공급한다는 목표를 재확인하며 “주당 2만대 생산 규모에 도달하려면 최소 1년, 어쩌면 그 이상이 걸릴 것”이라고 말했다. 테슬라의 목표는 연간 100만대 생산능력 확보다. 상업용 제품의 초기 생산은 현대차그룹 자회사 보스턴다이내믹스의 아틀라스가 먼저 시작했다. 지난 1월 CES 2026에서 제품형 아틀라스를 공개하고 생산에 착수했다. 반면 대량생산용 라인 가동에서는 테슬라가 한발 앞섰다. 현대차그룹은 2028년까지 연간 3만대 규모의 양산체계를 구축하고 미국 자동차 공장에 아틀라스를 투입할 계획이다. 다만 양산 속도만으로 상용화 경쟁력을 판단하기는 어렵다는 분석이 나온다. 실제 산업현장에서의 작업 능력과 안전성, 수요 확보 등이 뒷받침돼야 해서다. 박상수 산업연구원 연구위원은 “테슬라와 보스턴다이내믹스는 휴머노이드 기술력에서 최상위권”이라며 이번 생산 발표를 시장 선점을 위한 신호로 평가했다. 다만 피지컬 AI의 또다른 축인 자율주행 상용화에서는 테슬라가 현대차그룹보다 앞서 있다. 테슬라는 지난달 3일 미국 텍사스주 오스틴에서 로보택시 ‘사이버캡’ 운행을 시작했고, 다음 달 댈러스로 확대할 계획이다. 연내 외부 고객 판매도 추진한다. 3분기 말 로보택시의 누적 무감독 주행거리는 200만 마일(약 322만㎞)에 육박한다. 현대차그룹 자회사 모셔널은 지난 3월 라스베이거스에서 아이오닉5 로보택시 서비스를 시작했지만 아직 안전요원이 탑승하며, 완전 무인 운행은 연내 달성이 목표다. 아틀라스와 옵티머스를 추격하는 휴머노이드 업체들도 양산 경쟁이 한창이다. 미국 피규어AI는 지난 4월까지 ‘피규어03’ 350대 이상을 생산시설에서 출고했고, 이전 모델은 BMW 공장에서 약 11개월간 생산 작업에 참여했다. 미국 어질리티로보틱스는 ‘디짓’을 물류현장에서 상업 운용 중이다. 중국 유니트리는 지난해 5716대를 생산하고 5511대를 출하했다. 관건은 양산 확대가 실제 수요와 수익성으로 이어지느냐다. 박 연구위원은 “휴머노이드 상용화에는 무엇보다 기술력과 안전성이 중요하다. 생산능력을 확보해도 실제 수요가 얼마나 형성될지는 불확실하다”고 말했다.

미국 테슬라가 휴머노이드 로봇 ‘옵티머스’의 대량생산용 라인을 가동하며 상업용 제품의 초기 생산에 들어갔다. 현대자동차그룹도 ‘아틀라스’ 양산체계 구축에 속도를 내면서 글로벌 피지컬 인공지능(AI) 시장의 양대산맥이 주도권 경쟁에 본격 나섰다. 테슬라는 21일(현지시간) 3분기 실적 발표에서 미국 캘리포니아주 프리몬트 공장에서 옵티머스 생산을 시작했다고 밝혔다. 지난 5월 단종한 고급 전기차 모델S·X 생산시설을 로봇 생산설비로 전환한 것이다. 테슬라는 상업용 제품에 적합한 제조공정에서 첫 양산 품질 수준의 로봇을 생산했다고 설명했지만 생산량은 공개하지 않았다. 일론 머스크 테슬라 최고경영자(CEO)는 내년 말 외부 고객에 공급한다는 목표를 재확인하며 “주당 2만대 생산 규모에 도달하려면 최소 1년, 어쩌면 그 이상이 걸릴 것”이라고 말했다. 테슬라의 목표는 연간 100만대 생산능력 확보다. 상업용 제품의 초기 생산은 현대차그룹 자회사 보스턴다이내믹스의 아틀라스가 먼저 시작했다. 지난 1월 CES 2026에서 제품형 아틀라스를 공개하고 생산에 착수했다. 반면 대량생산용 라인 가동에서는 테슬라가 한발 앞섰다. 현대차그룹은 2028년까지 연간 3만대 규모의 양산체계를 구축하고 미국 자동차 공장에 아틀라스를 투입할 계획이다. 다만 양산 속도만으로 상용화 경쟁력을 판단하기는 어렵다는 분석이 나온다. 실제 산업현장에서의 작업 능력과 안전성, 수요 확보 등이 뒷받침돼야 해서다. 박상수 산업연구원 연구위원은 “테슬라와 보스턴다이내믹스는 휴머노이드 기술력에서 최상위권”이라며 이번 생산 발표를 시장 선점을 위한 신호로 평가했다. 다만 피지컬 AI의 또다른 축인 자율주행 상용화에서는 테슬라가 현대차그룹보다 앞서 있다. 테슬라는 지난달 3일 미국 텍사스주 오스틴에서 로보택시 ‘사이버캡’ 운행을 시작했고, 다음 달 댈러스로 확대할 계획이다. 연내 외부 고객 판매도 추진한다. 3분기 말 로보택시의 누적 무감독 주행거리는 200만 마일(약 322만㎞)에 육박한다. 현대차그룹 자회사 모셔널은 지난 3월 라스베이거스에서 아이오닉5 로보택시 서비스를 시작했지만 아직 안전요원이 탑승하며, 완전 무인 운행은 연내 달성이 목표다. 아틀라스와 옵티머스를 추격하는 휴머노이드 업체들도 양산 경쟁이 한창이다. 미국 피규어AI는 지난 4월까지 ‘피규어03’ 350대 이상을 생산시설에서 출고했고, 이전 모델은 BMW 공장에서 약 11개월간 생산 작업에 참여했다. 미국 어질리티로보틱스는 ‘디짓’을 물류현장에서 상업 운용 중이다. 중국 유니트리는 지난해 5716대를 생산하고 5511대를 출하했으며, 유비테크는 지난달 연산 1만대 이상 규모로 설계된 공장을 가동했다. 관건은 양산 확대가 실제 수요와 수익성으로 이어지느냐다. 테슬라의 3분기 순이익은 7억 8700만 달러로 전년 동기보다 43% 줄었고, 영업이익도 56% 감소했다. 박 연구위원은 “휴머노이드 상용화에는 무엇보다 기술력과 안전성이 중요하다. 생산능력을 확보해도 실제 수요가 얼마나 형성될지는 불확실하다”고 말했다.

캐나다 차세대 잠수함 사업(CPSP)에서 아쉽게 탈락한 한국 잠수함이 그리스에서 설욕전에 나선 가운데, 그리스 해군이 기존 잠수함 4척의 성능개량 업체로 한화오션이 아닌 독일 티센크루프 마린시스템즈(TKMS)를 염두하고 있다는 보도가 나왔다. 21일(현지시간) 그리스 방산 매체 아미나넷은 “그리스 국방부가 독일 TKMS와 자국 조선소의 협력안을 채택하고, 한국의 한화오션이 제안했던 214HN형 잠수함 4척 성능개량 제안은 수용하지 않기로 결정했다”고 보도했다. 앞서 현지 군사 전문 매체 디렉투스는 지난 19일 “한화오션이 3000t급 장보고-III 배치-II(KSS-III Batch II) 4척 건조를 그리스에 제안했다”며 “한국은 그리스 조선·방산 기업인 오넥스(ONEX)와의 협력을 통해 잠수함 그리스 현지 조선소와 생산 기반을 활용하고 기술·노하우를 이전하며 현지 합작 법인에 최소 25%의 지분 참여를 추진하겠다고 제안했다”고 보도했다. 이어 “한화오션의 이번 제안에는 그리스 해군의 214형 잠수함의 현대화도 포함돼 있다”고 덧붙였다. 214형 잠수함은 독일 조선업체 하데베(HDW)가 개발한 디젤-전기 추진 방식의 재래식 잠수함으로, 그리스 해군은 현재 4척을 운영하고 있다. HDW는 이후 TKMS의 계열사가 됨에 따라 현재 해당 잠수함의 설계 및 건조 기술은 TMKS가 소유하고 있다. 그리스 잠수함이 성능개량 필요한 이유잠수함의 핵심은 적에게 탐지되지 않은 채 먼저 표적을 찾아내고 정보를 분석해 무장을 운용하는 능력이다. 기존 전투관리체계와 소나 등 센서의 성능을 유지·개선하지 않으면 주변 해역의 표적을 탐지하고 분류하는 능력 또는 수집한 정보를 처리하는 효율이 저하될 수 있다. 이에 따라 그리스 해군은 전투정보 처리 능력을 개선하고 센서와 전자장비를 정비·현대화하는 방안을 검토해 왔다. 더불어 현재 운용 중인 214형 잠수함의 무장체계 개선도 중요한 과제로 꼽힌다. 지난해 4월 영국 군사 전문 매체 제인스에 따르면 그리스 해군은 기존 어뢰를 교체하고 새로운 어뢰를 운용할 수 있도록 전투관리체계를 개조하는 사업을 추진해 왔다. 어뢰 배터리와 어뢰 기만·대응체계도 관련 개선 항목에 포함됐다. 이에 따라 한화오션은 신형 잠수함 4척 건조와 함께 기존 214형 4척을 성능개량하는 ‘패키지’를 그리스 측에 제안했지만 그리스는 성능개량 사업 부문에서 한화오션이 아닌 TKMS를 선택한 것으로 추정된다. 아미나넷은 “한화오션이 제시한 (성능개량 관련) 제안들은 원칙적으로 거부됐다. 대신 국방부는 214형 잠수함의 최초 설계·건조 데이터를 가진 TKMS가 그리스 스카라망가스 조선소와 함께 제시한 현실적인 방안을 받아들이고 있다”고 전했다. 앞서 그리스 국방부는 지난 7월 TKMS와 그리스 방산업체 관계자들이 만나 214형 잠수함 성능개량 사업을 논의했다고 밝혔으나, 해당 컨소시엄의 최종 사업자 선정 발표는 아직 나오지 않았다. 아미나넷은 “한화오션은 향후 그리스 해군의 신형 잠수함 도입 사업에서 프랑스·독일·스웨덴 후보들과 경쟁하는 업체로 다시 등장할 전망”이라고 전했다. 이는 한화오션이 제안한 잠수함 패키지 가운데 성능개량 사업은 제외되더라도, 신형 잠수함 4척 도입과 관련한 제안까지 거부된 것은 아니라는 의미다 “4척 성능개량에 약 3조원 들 수도”아직 기존 잠수함 4척 성능개량을 맡을 최종사업자 선정과 관련한 그리스 국방부의 발표는 나오지 않은 가운데, 현지에서는 TKMS가 제시한 성능개량 비용을 두고 우려의 목소리가 나온다. 아미나넷은 “TKMS는 성능개량 사업의 가격이 크게 상승했다는 사실을 분명히 밝혔다”며 “TKMS가 2024년 말 제시한 초기 잠정 예산은 11억 9000만 유로(한화 약 1조 7720억원)이었다. 이는 장기 국방획득계획에 반영된 예산보다 약간 높은 수준이었다”고 전했다. 이어 “그러나 올해 여름에는 추정액이 17억 유로(약 2조 5300억원)로 급증했다. 현재는 원자재 가격 상승과 추가 비용 부담을 고려해 최종 사업비가 19억 유로(약 2조 8300억원)에 이를 것이라는 전망이 나온다”면서 “최종 금액은 국제시장의 상황, 자재 및 관련 외부 업체의 작업 가능 여부, 개별 계약의 체결 시점에 따라 달라질 수 있다”고 덧붙였다. “한국의 장보고-III 배치-II, 가장 진보한 재래식 잠수함”한편 CPSP에서 고배를 마신 한화오션은 그리스에서 장보고-III 잠수함을 통해 설욕전에 나선다. 지난 19일 디렉투스는 “그리스가 탄도미사일과 첨단 기술을 탑재한 강력한 한국 잠수함 도입을 검토 중”이라며 “한국의 장보고-III 배치-II 잠수함은 국제적으로 가장 진보한 재래식 잠수함 중 하나”라고 극찬했다. 이어 “특히 한국 잠수함은 10개의 수직 발사 시스템(VLS)을 갖추고 있어 잠수함에서 탄도미사일을 발사할 수 있다”며 “이는 재래식 미사일 플랫폼으로서는 매우 이례적인 기능”이라고 덧붙였다. 그리스 국방부는 잠수함 도입 비용과 작전 운용 성능, 자국 조선업 기여도를 종합적으로 검토해 최종 기종을 결정할 예정이며 발표 일정은 공개되지 않았다. 한국 잠수함은 캐나다 사례와 마찬가지로 유럽연합(EU) 회원국 간 방위산업 보호 기조와 유럽 단일 규격 우선 정책 등의 장벽을 넘어야 한다. 한화오션의 이번 제안이 실제 수주로 이어질 경우 북대서양조약기구(NATO·나토)의 벽을 넘어 한국 방산의 유럽 시장 진출을 확대하고, 유럽 방산업체들이 주도해 온 잠수함 시장에서 한국의 경쟁력을 입증하는 계기가 될 것이라는 전망이 나온다.

전 세계 웹사이트의 70% 이상이 사용하는 프로그래밍 언어 PHP에 치명적인 보안 취약점이 확인되면서 전 세계 웹사이트 보안에 비상이 걸렸다. 각국 정부와 보안기관이 대책에 나선 가운데 과학기술정보통신부와 한국인터넷진흥원(KISA)도 긴급 대응에 나섰다. 전 세계 웹사이트 70% 이상 사용하는 언어에 자체 취약점PHP는 웹사이트 서버용 프로그래밍 언어로, 웹사이트의 로그인·게시판·쇼핑몰 주문조회 등의 기능을 구현하는 데 쓰인다. 1995년 공개된 오픈소스 언어로, 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 70~75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 쓰이는 워드프레스 역시 PHP를 기반으로 작동한다. 이용자가 웹사이트에서 요청한 작업을 서버에서 처리하고 그 결과를 웹브라우저로 보내주는 역할을 한다. 이용자의 컴퓨터나 스마트폰이 아닌 웹사이트 운영 서버에서 실행되는 것이 특징이다. 예를 들어 온라인 쇼핑몰에서 주문 내역을 조회하면 서버가 PHP로 작성된 프로그램을 실행해 데이터베이스에서 해당 정보를 찾아 이용자에게 보여준다. 게시판에 글을 쓰거나 댓글을 불러오는 기능도 이런 방식으로 구현된다. 이번 보안 취약점의 파급력이 큰 것도 이처럼 수많은 웹사이트가 보편적으로 사용하는 기능이 PHP에 의존하고 있기 때문이다. 이번 취약점은 개별 사이트의 코딩 실수가 아니라 PHP 자체의 내부 처리 과정에 내재한 것으로 전해졌다. 로그인이나 인증 없이 외부에서 서버를 장악할 수 있는 취약점 2건이 확인된 것이다. 패치 나오기 전 결함 알려져…“공조 깨졌다” 전 세계적인 파급력뿐만 아니라 결함이 발견되고 패치가 나오기까지의 과정도 논란이 되고 있다. 연합뉴스와 PHP 재단에 따르면 이 결함은 2024년 독일 ‘소버린 테크 펀드’(STF)의 지원으로 진행된 보안 감사에서 처음 포착됐다. 당시 개발진은 메모리 부족(OOM) 상황을 처리하는 과정에서 생길 수 있는 결함을 확인하고 수정 방안을 논의했다. 그러나 만장일치 합의로 결정하는 구조 탓에 결론을 내지 못했고, 기존 라이브러리와의 호환성이 깨질 수 있다는 우려와 성능 저하 논란까지 겹치면서 패치는 보류됐다. 특히 이 결함이 실제 원격 코드 실행(RCE) 공격으로 이어질 수 있다는 점을 당시로선 입증하지 못한 것도 작용했다. 그러나 지난 8월 인공지능(AI)을 활용해 같은 결함을 찾아내면서 상황이 달라졌다. 잠재적 버그 정도로 여겨졌던 결함이 AI 분석을 통해 실제 시스템 침투 경로로 이용 가능하다는 점이 확인된 것이다. 미국 보안업체 캘리프(Calif) 연구진은 오픈AI의 ‘GPT-5.6 솔’로 PHP 코드를 분석했고, 오픈AI 보안팀도 별도 연구에서 같은 결함을 찾아냈다. 이 결함은 8월 11일 PHP 재단에 신고됐다. PHP 재단은 신고를 받은 뒤 두 달여 검증 작업을 거쳐 21일 공식 보안 업데이트를 배포했다. 재단은 대응이 늦어진 원인으로 거버넌스의 한계와 자원 부족을 인정하고 보안 체계를 손보겠다고 밝혔다. 이 과정에서 또 다른 논란도 불거졌다. 일부 패치 배포업체가 공식 배포 예정 시간보다 약 6시간 앞서서 패치가 적용된 이미지를 기습 공개한 것이다. 재단은 공식 성명을 통해 “체인가드가 일방적으로 엠바고를 깼다”며 “공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위”라고 강력히 비판했다. 패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해 공격 도구를 개발할 수 있게 된다. 정식 업데이트가 제공되지 않는 상황에서 해커들에게 먼저 코드를 분석할 수 있는 6시간을 제공함으로써, 이용자들이 눈 뜨고 당할 수도 있는 위험을 초래한 셈이다. 사실 공식 패치 배포 전부터 연이어 정보 유출이 있었다. PHP 개발진은 당초 22일에 패치를 배포하려 했으나 지난 20일 온라인에서 취약점 ID 등이 유포되면서 배포 일정을 하루 앞당겼다. 여기에 다른 보안업체 ‘캘리프’가 실수로 취약점 공격 시연 영상을 올렸다가 삭제하면서 해커들의 공격 도구 개발이 가속됐다고 재단은 지적했다. 이런 상황에서 체인가드의 기습적인 패치 공개가 이어지면서 ‘시간차 방어망’이 무너졌다는 평가가 나온다. AI로 빨라진 해킹 공격·방어…현장 적용 늦는 고질적 문제도 특히 AI 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와 비교할 수 없을 정도로 빨라진 상황에서 이와 같은 공조 실패는 더욱 뼈아프다는 지적이 나온다. 이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 “어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다”면서 “그러면 대혼란이 일어날 것”이라고 우려했다. 이런 비판에 댄 로랜크 체인가드 CEO는 “현장에서 실제 취약점 공격이 이뤄지고 있다는 징후를 여러 보안업체가 확인했다”면서 “실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다”고 해명했다. 다만 “내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다”고 덧붙였다. 공조가 무너진 것과 별개로 이미 보안업계에서 AI를 활용해 공격과 방어 양쪽에서 속도 경쟁이 붙고 있다. 보안업계에서는 이번 사태가 AI로 인해 사이버보안에서 공격과 방어 양쪽이 속도 경쟁이 본격화한 대표적 사례로 보고 있다. 과거에 보안 분석은 사람이 직접 코드를 살펴보거나 정적 분석 도구에 기대는 방식이었다. 그러나 이제는 대형언어모델(LLM) 기반의 AI 에이전트가 방대한 코드에서 여러 논리 결함을 엮어 공격 코드를 거꾸로 설계해 내는 수준까지 왔다. 이런 도구가 공격자 손에 들어가면 막기 더욱 어려워진다. 오픈AI도 분석 결과를 공개하면서 고성능 추론 모델이 취약점을 빨리 찾아내는 만큼 공격자가 악성 도구를 만드는 기간도 크게 줄일 수도 있다고 경고했다. 이번에는 연구진이 공격자보다 먼저 결함을 찾아내 패치 작업을 할 시간을 벌었다. 그러나 방어하는 쪽이 앞으로도 늘 한발 앞설 거라는 보장이 없으며 이번에도 이미 취약점을 파고든 공격이 없었으리라는 법이 없다. AI를 활용한 취약점 신고가 쏟아지면서 오픈소스 진영의 검증 부담도 커졌다. PHP 재단에 따르면 지난 7월 이후 AI 등을 이용해 접수된 허위·중복 신고 100여건을 걸러내느라 유지보수 인력이 대거 투입됐다. 패치가 나와도 현장 적용이 늦어지는 것은 고질적이면서도 더욱 큰 문제다. 기업이나 기관이 기존 시스템과의 호환성을 이유로 업데이트를 미루면 취약점은 그대로 남을 수밖에 없기 때문이다. 결국 방어하는 쪽이 아무리 빨리 결함을 찾아내더라도 보완 패치 업데이트가 늦으면 공격자는 오히려 알려진 결함을 파고들 수 있다. 한국인터넷진흥원(KISA)은 ‘PHP’에서 취약점이 발견됐다며 보안 업데이트를 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다. 미 국가안보국(NSA)은 소셜미디어 엑스(X)에서 “즉각적인 업데이트가 불가능하다면, 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다”고 밝혔다. 과학기술정보통신부와 KISA는 21일 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 취할 것을 요청했다. C-TAS는 KISA가 운영하는 사이버 위협정보 분석·공유 시스템으로, 약 5900개 참여 기업과 기관이 사이버 위협 정보를 공유하는 체계다. 정보통신망법에 따라 정보보호 업무를 총괄하는 정보보호 최고책임자(CISO)를 지정해 과기정통부에 신고해야 하는 의무 기업은 현재 약 3만곳에 이른다. 정부는 사이버 위협 정보를 안내하는 포털인 ‘KISA 보호나라’를 통해서도 PHP 취약점에 대한 보안 업데이트와 패치 적용을 권고하는 공지를 했다.