⚠ 즉시 확인이 필요한 보안 항목

• GitLab CVE-2026-97229 (Ruby Onigmo 정규식 엔진) 실제 악용 시도 — GitLab 19.3.5 이상으로 올리고(19.3.4에는 패치 없음), 배포판 Ruby를 쓰는 환경은 Ruby 3.3.13 이상인지 따로 확인.

⚠ 조치 필요

• Tailscale SSH 권한 상승 취약점 — 패치 준비 중. 지금은 TS_SSH_DISABLE_FORWARDING=1 로 SSH 포워딩을 끄고 자동 업데이트를 켜 둘 것.
• UEFI(TianoCore EDK II) CVE-2026-97631, CVSS 9.5 — PXE 네트워크 부팅을 쓰는 서버 전반. 펌웨어 벤더 패치 확인, 불필요한 PXE 부팅 비활성화.
• macOS 기본 git·curl·python3 가 침해된 eMudhra 인증서를 여전히 신뢰 — macOS 27.2 에도 미수정. 신뢰 못 할 네트워크에서 HTTPS 자격 증명 전송 자제, 수동 우회는 업데이트 뒤 재확인.
• PHP2Shell 취약점 2건, 실제 악용 확인 — 10월 26일 CISA KEV 등재. 외부 노출 PHP 서비스는 패치 여부 즉시 점검.

주요 글

인가된 사용자가 부여받은 권한을 넘어 시스템에 접근할 수 있는 결함이 발견돼 Tailscale 이 긴급 패치를 준비하고 있다. 영향 버전과 수정 버전은 아직 공개되지 않았고, 공식 권고는 환경 변수 TS_SSH_DISABLE_FORWARDING=1 로 SSH 포워딩을 끄는 것이다. Tailscale SSH 전체를 끄지 않아도 핵심 위험은 완화된다고 설명하며, 커뮤니티는 패치 전까지 OpenSSH 로 돌아가는 방안도 거론한다. GeekNews 에도 같은 권고가 올라왔다.

주요 UEFI 벤더가 공통으로 쓰는 TianoCore EDK II 에서 심각도 9.5 의 버퍼 오버플로가 발견됐다. PXE 네트워크 부팅 중 ICMP 오류 메시지를 처리하는 코드가 원인이라 운영체제와 Secure Boot 가 올라오기 전에 공격 코드가 실행될 수 있다. 데이터센터처럼 PXE 부팅을 쓰는 환경은 펌웨어 벤더의 패치 일정을 확인하고, 당장 필요 없는 서버는 네트워크 부팅을 꺼 두는 편이 안전하다.

개인 키가 '4' 로 드러난 eMudhra CA 사고가 10월 17일 Apple 에 통보됐지만, 10월 28일 현재 macOS 번들 도구의 HTTPS 연결은 여전히 중간자 공격에 노출돼 있다. 10월 26일 나온 macOS 27.2 는 이 문제를 고치지 않았고, 사용자가 /etc/ssl/cert.pem 을 손봐 둔 우회책까지 되돌렸다. 시스템 git 으로 원격 저장소에 푸시하거나 자격 증명을 보내는 작업은 신뢰할 수 있는 네트워크에서만 하고, 업데이트 뒤에는 우회 설정이 살아 있는지 다시 확인해야 한다.

인터넷에 노출된 허니팟에서 PHP2Shell 취약점이 실제로 뚫린 사례가 확인됐다. 공격 트래픽, 메모리 누출, 후속 코드 실행이 하나의 흐름으로 이어진 증거가 잡혔고, CISA 는 10월 26일 관련 취약점 2건을 알려진 악용 취약점(KEV) 목록에 올렸다. Wiz 는 공개 익스플로잇만으로는 전체 공격 체인이 완성되지 않았다고 보고했지만, 노출된 PHP 서비스라면 패치 상태를 지금 확인해야 한다.

8월 27일부터 9월 9일 사이 GLM-5.3 모델이 다른 고객의 프롬프트와 생성 결과를 응답에 섞어 내보냈다. 영향 응답은 155건이고 다른 모델은 무관하다. 컨텍스트 1,048,576 토큰 모델의 KV 캐시 재사용 경로에서 생긴 문제로, 추론 서버(SGLang) 수준에서 수정됐다. 공유 추론 인프라를 쓰는 서비스라면 캐시 격리가 테넌트 경계까지 보장되는지 점검할 만한 사례다.

Google 이 복잡한 다단계 엔지니어링 작업을 오래 수행하도록 설계한 Gemini 4 Carbon 을 발표했다. 코딩과 사이버 방어 역량을 강화했다는 설명이며, Artificial Analysis Intelligence Index v5.0 에서 59점으로 1위, WebDev Arena 에서는 89 Elo 상승을 기록했다. 에이전트 프레임워크에 모델을 바꿔 끼울 계획이 있다면 장시간 작업 벤치마크를 직접 돌려 볼 가치가 있다.

Python 3.13 에 실험적으로 들어갔던 JIT 컴파일러가 유지보수 부담과 커뮤니티 합의 부족으로 빠질 예정이다. 정식 채택을 노린 PEP 836 승인이 보류되면서 CPython 의 JIT 개발은 당분간 멈추고, 성능이 필요한 쪽은 GraalPy·PyPy 같은 대안 구현체로 다시 눈을 돌리고 있다. 기본 CPython 성능 개선을 기다리던 팀은 로드맵을 다시 잡아야 한다.

Vercel 이 공개한 에이전트 스킬 next-bundle-optimizer 는 Turbopack 모듈 그래프를 읽어 코드 분할 지점, 중복 의존성, React Server Components 로 옮길 컴포넌트를 찾아 제안한다. 제안은 실제 소스와 컴포넌트 사용 방식에 비춰 검증되며, v0 와 vercel.com 에 적용해 압축 기준 총 2MB 의 JavaScript 를 덜어냈다. 번들 분석 리포트를 사람이 읽던 작업을 에이전트에 넘기는 구체적인 예다.

Enterprise Cloud 고객은 별도 구매 없이 Copilot 을 쓸 수 있게 됐다. 따로 관리하던 Copilot 좌석과 AI 사용량은 엔터프라이즈 예산 체계로 합쳐지며, 월별 무료 크레딧은 없고 첫 요청부터 예산에서 차감된다. 자체 구독 고객에게는 단계적으로 확대되고, Copilot Business·Enterprise 는 별도 상품으로 유지된다. 좌석 단위에서 사용량 단위로 과금이 바뀌므로 예산 관리 방식을 미리 손봐야 한다.

코드베이스만이 아니라 팀의 규약과 작업 습관까지 파악하는 것을 목표로 한 기능 묶음이다. 메모리는 세션을 넘어 개발자 선호와 리포지토리 규약을 유지하고, 드리밍은 그 메모리를 코드 리뷰 피드백으로 계속 다듬는다. 코드 검색은 로컬 클론 없이 여러 리포지토리를 가로질러 마이그레이션이나 버그 조사를 돕는다. 규약 문서를 손으로 관리하던 팀에는 비교 대상이 된다.

지시문은 Markdown, 도구와 처리 로직은 TypeScript 로 쓰는 구조로, 설정·외부 서비스 연결·테스트·평가·배포까지 한 흐름으로 묶었다. 에디터 안의 에이전트를 팀 공용 워크플로로 꺼내 쓰려는 의도이며, GitHub 인텔리전스와 같은 날 나온 점에서 '팀 단위 에이전트' 경쟁이 본격화됐다고 볼 수 있다.

netmeister.org 의 글로, 취약점 공개가 보안 업체 간 마케팅 경쟁이 되면서 사전 통지와 엠바고가 무너지고 0-day 가 쏟아진다고 진단한다. AI 는 공격 코드 생성을 빠르게 하지만 방어에는 별 도움이 안 되고, 진짜 병목은 패치 생성이 아니라 조직별 공격 표면 평가와 배포라는 것이다. 결론은 새롭지 않다. 침해를 전제로 노출 범위를 줄이는 제로 트러스트 원칙으로 돌아가라는 것이다. GeekNews 쪽 요약도 "AI 생성 패치가 해법이 아니다" 는 같은 지점을 짚는다.

npm 패키지를 오염시킨 ChainDrop 웜 사고가 계기였다. pnpm 11 은 Node.js 22.13 이상을 요구하고 CVE-2025-69264·69262 대응이 들어 있어 전환을 결정했고, AI 에이전트에 검증 하네스를 붙여 레포마다 같은 절차를 반복시켰다. lockfile 과 설정 파일, allowBuilds 처리에서 걸린 함정과 해결책을 정리해 두어 같은 작업을 앞둔 팀이 바로 참고할 수 있다.

환각은 잘못된 청크 검색, 검색된 증거 무시, 근거 없는 생성이라는 세 경로로 생긴다고 보고 검색·제약·검증·기권 네 단계로 막는다. 검색은 MinHash/LSH 중복 제거, 컨텍스트화 청킹, BM25 와 벡터를 RRF 로 합친 하이브리드에 Cross-Encoder 재순위(150 → 20)를 얹었다. 생성 단계는 주장마다 청크 ID 를 인용하게 하고 원자적 주장 단위로 검증하며, Conformal Prediction 기반 신뢰도가 낮으면 "모른다" 고 답하게 한다.

Kafka 트랜잭션은 원자적 쓰기와 EOS 를 보장하는 대신 커밋마다 고정 비용이 붙어 처리량이 비트랜잭션 대비 약 50배까지 떨어질 수 있다. AWS 는 네트워크·코디네이터·클라이언트 세 한도 중 가장 낮은 값이 처리량을 정한다는 사이징 공식을 제시하고, 묶음 크기 10건이면 코디네이터 병목(Scale-Out), 200건이면 네트워크 병목(Scale-Up)으로 대응이 갈린다고 설명한다. __transaction_state 파티션을 전체 브로커에 분산하는 절차와 필수 모니터링 지표도 담았다.

도구마다 같은 tar 파일을 다르게 해석하는 틈을 노린 공격을 막는 것이 출발점이다. Astral 이 해석 일관성을 우선으로 설계한 파서로, uv 자체 벤치마크에서는 이전 구현보다 약 2배 빠르다. uv 0.13 이후 기본값이므로 Python 패키지 설치 경로를 이미 거쳐 가고 있다. devday 쪽 분석 글은 안전성과 속도를 함께 잡은 설계 포인트를 짚는다.

2018년 네이버 D2 의 "백엔드 개발자를 꿈꾸는 학생개발자에게" 후속편이다. AI 시대에 개발자의 역할은 AI 에게 방향을 지시하고 결과에 책임지는 쪽으로 옮겨 갔다고 보고, 그 전제에서 무엇을 공부하고 어떻게 취업을 준비할지 학생들의 질문에 답한다. 이틀치 GeekNews 글 중 추천수가 가장 높다.

생성된 코드를 한 줄씩 이해하는 쪽과 구현을 아예 들여다보지 않는 쪽을 양 끝에 놓고, 시스템 소유자에게 정말 필요한 것은 이상 징후를 알아채고 필요한 깊이까지 파고드는 능력이라고 정리한다. devday 오늘 인기글 "AI 가 가져온 역설: 더 바빠진 개발자들" 은 같은 문제를 다른 각도에서 본다. AI 가 일을 줄여 주기는커녕 검토와 조율로 업무가 늘었다는 체감이다.

그 외 눈에 띈 글

• Zig 와 함께한 4개월 — 명시적 자원 관리와 도구가 강점, 불안정해도 1순위 언어가 됐다(GN · devday)
• Anthropic, Claude 를 활용한 신약 개발 초기 성과 공개 — 6개 기관 협업(devday · GN)
• 미국 연방법전을 위한 Git — 개정 지시문을 순서대로 적용해 조문 변경 이력 복원(GN · devday)
• 브라우저 지문 수집 스크립트가 '생물무기' 문자열을 품은 이유 — LLM 안전 필터로 역난독화 방해(GN)
• Gforth 1.0 — 확장 가능한 문법과 멀티코어 멀티태스킹 지원(GN)
• AlpineBSD — NetBSD 기반에 Alpine Linux 식 사용자 공간을 결합한 운영체제(GN)
• Unlimited-OCR 2 — 페이지 간 문맥을 이어 수백 페이지 문서를 파싱하는 OCR 모델(GN · 10)
• StreamFusion — Flink SQL 을 Rust·Arrow·DataFusion 네이티브 실행기로 가속(GN · 3)
• 지수 시간 가설(ETH)은 거짓이다 [PDF] — devday 는 커뮤니티 반응까지 정리(GN · devday)
• Next.js 16 업그레이드 후 빌드 오류 없이 발생한 4가지 문제점(devday)
• Show GN: Aqueous 압축 파일 포맷(GN · 11)
• Show GN: pele-animate — Mermaid 다이어그램에 애니메이션과 아이콘을 더하는 오픈소스 라이브러리(GN)

IT 세미나·행사 일정 (이벤터스)

⚠ 확인·조치가 필요한 항목

• 티빙 3,954만 계정 정보 유출 확인 — 이름·연락처·이메일·생년월일·결제이력 등 20개 항목 70종. 휴면·탈퇴 계정도 포함. 동일 비밀번호를 쓰는 서비스 전부 변경, 보상은 본인이 직접 신청해야 함.
• LG 스마트 TV, 화면 꺼진 상태에서 오디오 평문 로깅 + webOS RCE — 로컬 네트워크 스캔 및 마이크 오디오 전송이 확인됨. webOS 최신 펌웨어 적용, 마이크·맞춤형 광고(ACR) 설정 해제, 가정 내 VLAN 분리 권고.
• GNU strip을 경유하는 배포판 전체 Trusting-Trust 공격 실증 — 컴파일러가 아닌 strip이 완성된 ELF만 변조해 NixOS 부트스트랩부터 최종 환경까지 감염 유지. 아직 연구 단계이나 재현 빌드·바이너리 검증 체계 점검 필요.

정부 조사로 약 3,954만 계정의 개인정보와 소스코드가 함께 유출된 사실이 확인됐다. 이름·휴대전화·이메일·생년월일·결제이력을 포함한 20개 항목 70종이 대상이고 휴면·탈퇴 계정도 빠지지 않았으며, 일부 정보는 암호화키까지 함께 노출됐다. 피해 보상이 자동 지급이 아니라 이용자 개별 신청 방식이라는 점이 실무적으로 가장 중요하다.

Wireshark 분석 결과 LG 스마트 TV가 화면 꺼짐 상태에서도 로컬 네트워크를 스캔하고 마이크 오디오를 평문으로 로깅해 LG 서버로 전송하는 동작이 포착됐다. 같은 시기 webOS의 원격 코드 실행 취약점도 공개돼, 광고 프로파일링 논란이 단순 프라이버시 문제를 넘어 홈 네트워크 침해 경로 문제로 번지고 있다. GeekNews 쪽 논의는 “TV를 신뢰 경계 밖 기기로 취급하고 별도 VLAN에 격리하라”는 실무 대응에 초점이 맞춰졌다.

동일한 GPT-6 Astra를 ARC-AGI-3의 같은 High 추론 설정으로 돌렸을 때 하네스 구성에 따라 점수가 54.8%에서 99.9%까지 벌어졌다. 요청 사이에 이전 추론 상태를 보존하느냐가 결정적이어서, 장기 실행 에이전트는 모델 단독이 아니라 메모리·도구·문맥 관리·제어 루프를 합친 시스템으로 평가해야 한다는 결론이다. 같은 모델은 국내 수능 LLM 벤치마크에서 종합 450점 만점을 처음 기록해, 기존 모델들이 막혔던 사회문화 8번까지 풀어냈다.

기존 시스템과 조직 구조가 굳은 브라운필드 기업에서 AI 전환이 막히는 지점은 기술이 아니라 역할과 팀 권한을 정체성으로 여기는 문제라는 분석이다. 담당 업무를 AI로 몇 분에 끝내도 다른 팀의 승인과 백로그를 기다려야 하면 조직 경계에서 속도가 전부 상쇄된다. 함께 올라온 글은 “도구를 만드는 일과 기업을 바꾸는 일은 별개”라며, 어떤 도구가 필요한지 발견하고 전사가 쓰게 만드는 단계가 진짜 병목이라고 짚는다.

건물은 물리적으로 붕괴하지만 소프트웨어에는 그런 하한선이 없어, 시스템이 멀쩡히 돌아가는 동안에도 복잡도와 성능 저하가 무한히 쌓인다는 논지다. Amazon 주문 처리 조직 사례로 지식 소실과 중단된 재설계가 반복되며 기존 구조 위에 새 계층과 인력만 계속 얹히는 악순환을 보여준다. 리팩터링을 “언젠가”로 미루는 팀에게 그 언젠가가 오지 않는 구조적 이유를 설명한다.

GS리테일이 LiteLLM으로 AI Gateway를 세워 Amazon Bedrock의 Claude를 표준 AI 서비스로 채택하고, Virtual Key 중앙 인증과 크로스 계정 라우팅으로 인증·비용·보안을 한 곳에서 통제한다. 계정 온보딩 자동화와 Prompt Caching으로 운영 부담과 비용을 동시에 줄였고, 2부에서는 예산 기반 라우팅, 자체 가드레일, 목적별 관측 체계와 경영진 대시보드까지 다룬다. 수천 명 규모 사내 LLM 사용을 통제하려는 팀에 바로 참고가 되는 국내 사례다.

User 테이블에서 갱신이 잦은 배지 정보를 UserBadge 테이블로 떼어내 트랜잭션 충돌을 분당 10,000회에서 80회로 줄이고 WCU 사용량도 12~13% 절감했다. 그 결과 메시지 트래픽이 100배로 늘어도 견디는 구조가 됐다. 마이그레이션은 DynamoDB Export/Import와 AWS Glue ETL을 써서 5.3일 걸릴 작업을 6시간으로 단축했다.

Amazon Bedrock AgentCore를 허브로 사내 데이터·웹 검색·시장 규제 분석 MCP를 엮어 미국 ERCOT 전력 시장 입찰을 분석하는 에이전트를 운영한다. 사용자 페르소나별 Guardrails를 걸어 권한에 따라 접근 범위를 나누고, 답변 품질 관리와 사용자별 데이터 격리를 설계에 포함했다. MCP를 프로덕션 에이전트에 실제로 붙일 때 필요한 격리·거버넌스 패턴을 볼 수 있다.

문서 작성에서 지식 시스템 설계로 역할을 넓힌 기록이다. 사내 챗봇 ‘박씨’와 지식 관리 플랫폼 todoc을 만들어 조직에 흩어진 맥락적 지식을 구조화했고, 최종 목표를 “AI 워크플로우 자동화로 우리 역할을 불필요하게 만드는 것”으로 잡았다. 사내 문서가 LLM의 입력이 되는 시대에 문서 조직을 어떻게 재배치할지에 대한 구체적 사례다.

ArchUnit으로 레이어 의존성 같은 아키텍처 규칙을 테스트 코드로 옮겨, 문서와 코드 리뷰에 의존하던 규칙 준수를 CI에서 자동 검증하도록 바꿨다. 핵심은 FreezingArchRule로 레거시 위반은 현 상태로 동결하고 신규 위반만 차단한 점이며, Lombok 생성 코드가 잡히지 않는 한계는 소스 파일 스캔으로 메워 신규 위반 0건을 유지하고 있다. 규칙이 이미 무너진 코드베이스에도 점진 적용이 가능하다는 게 실전 포인트다.

전역 설정에 모든 것을 몰아넣지 말고 프로젝트 폴더마다 필요한 설정만 두어 불필요한 컨텍스트·리소스 소모를 줄이는 방법을 정리했다. 스킬 문서는 처음부터 완비하지 말고 실제 업무에서 필요할 때 점진적으로 쓰라고 권하며, 권한(permissions) 설정은 데이터 무결성을 고려해 보수적으로 잡으라고 조언한다. VSCode 터미널에서 실행 위치를 명확히 하는 습관도 함께 다룬다.

코드베이스 스캔부터 에이전트 간 해법 토론, 파일 편집, 테스트 실행과 자가 수정까지 한 런타임 안에서 처리하며, 여러 코딩 에이전트를 로컬에서 병렬로 실행한다. 클라우드 모델과 로컬 모델을 상황에 따라 갈아 끼울 수 있어 사내 코드를 외부로 보내기 어려운 환경에 쓸 만하다. 게임 개발용 Vulkan 3D 런타임 V-CORE도 함께 들어 있다.

M3 지원 코드가 인스톨러에 병합되어 M3·M3 Pro·M3 Max 맥북과 iMac에서 설치가 가능해졌다. 웹캠, 마이크, WiFi, 블루투스, USB 3 10Gb/s, AV1 하드웨어 디코딩까지 M1/M2에서 되던 기능은 대부분 동작하지만 GPU 가속과 디스플레이 제어는 여전히 제한적이고 M3 Ultra 기반 Mac Studio는 미지원이다. 애플 실리콘에서 리눅스를 상시 사용할 계획이라면 아직은 조건부다.

X.com의 요구로 중단됐던 Nitter 프로젝트가 법률 검토를 마치고 개발과 운영을 계속하기로 확정했으며, 세부 내용은 곧 공지될 예정이다. XCancel을 포함한 인스턴스도 서비스를 재개해 폐쇄 조치 이전보다 동작하는 인스턴스가 오히려 늘었다. devday 쪽 정리는 이 사건을 계기로 RSS 같은 개방형 표준의 가치와 플랫폼 독점 구조 비판이 다시 부각됐다고 덧붙인다.

메시징 앱을 Android Compose 기반으로 다시 만들고 RCS를 지원하며, 남아 있던 AOSP 기본 앱들을 순차적으로 자체 앱으로 교체한다는 계획을 밝혔다. 보안 클립보드 같은 기능도 함께 강화됐다. 눈에 띄는 점은 이 속도를 내기 위해 AI 모델을 코드 리뷰와 개발 보조에 공식적으로 활용하고 있다고 밝힌 대목이다.

Trusting-Trust 공격이 컴파일러 없이 GNU strip만으로도 가능함을 실증한 연구다. 소스 코드를 읽거나 생성·수정하지 않고 완성된 ELF 바이너리만 변조하기 때문에 소스 감사로는 잡히지 않으며, NixOS 부트스트랩 단계에서 감염되면 최종 환경까지 그대로 유지된다. 재현 빌드와 바이너리 서명 검증을 신뢰 근거로 삼고 있는 조직은 전제를 다시 점검할 만하다.

AI SRE가 알림 분석부터 배포 수정까지 대신 처리하면 평균 복구 시간은 좋아지지만, 엔지니어가 시스템 거동과 실패 양상을 배울 기회는 사라진다. 그 결과 사람에게는 AI가 못 푸는 낯설고 심각한 장애만 남게 되어, 자동화의 이득이 장기적으로 상쇄될 수 있다는 지적이다. 온콜 자동화를 도입하는 팀이 학습 경로를 어떻게 남길지 함께 설계해야 하는 이유다.

Claude 계열 세 모델에 코드 구조를 이해하는 LSP 도구를 붙여줬는데도, 대부분은 단순 위치 찾기에 grep을 먼저 썼다. LSP 우선 사용을 강제하자 오히려 성공률이 떨어지는 경우도 있었다. 정확도만의 문제가 아니라 결과를 곧바로 다음 행동에 쓸 수 있는 형태인지가 갈림길이라는 관찰로, 에이전트에 도구를 붙일 때 출력 형식 설계가 왜 중요한지 보여준다.