오늘의 개발 뉴스 — 2026년 11월 13일 (금)

#AI에이전트 #보안 #LLM #국내기술블로그 #테스트 #오픈소스 #출시 #AI코딩 #AWS #DevOps #Gemini #MCP #Rust #봇차단 #실시간협업 #웹운영 #코드품질 #크로스플랫폼 #Apache #CRDT #Git #GitHub #HTTP2 #macOS #RAG #Rails #SSH
⚠ 긴급 조치 필요
- Apache HTTP Server mod_http2 RCE (CVE-2026-119618) — 대상: HTTP/2 활성화된 httpd 2.4.71 미만(추정) · 조치: 2.4.71 이상 또는 mod_h2 2.0.24 이상으로 즉시 업그레이드, 불가하면 Protocols에서 h2/h2c 제거
주요 글
Wiz가 mod_http2의 assign_headers() 동기화 부족으로 힙 메모리가 손상돼 RCE로 이어질 수 있다고 공개했다(CVE-2026-119618, 11월 12일). 클라우드 환경의 약 64%가 취약하고 그중 51%가 외부 노출이라는 분석이다. 수정판은 httpd 2.4.71 / mod_h2 2.0.24이며, 즉시 패치가 어려우면 HTTP/2를 끄고 Certbot 등이 재시작 때 다시 켜지 않는지 확인해야 한다. 댓글에선 CVE 번호 불일치가 지적돼 벤더 공식 권고도 함께 확인할 것. (devday 오늘 인기 1위)
MCP 서버는 몇 분이면 돌아가지만, 운영에 들어가면 인증·권한 검사, 입력 검증, 감사 로그, 사람 승인(HITL)을 직접 설계해야 한다는 글이다. SQLite 기반 HR 데모 서버로 에이전트가 승인 없이 민감 작업을 실행하거나 중복 실행하는 사례를 보여주고, 같은 서버를 AWS Kiro에서 재사용하는 예도 든다. (devday 오늘 인기 2위)
저장소 단위 코딩·디버깅·웹 개발·멀티모달 에이전트 워크플로에 맞춘 모델로, 지시 준수와 환각 감소를 내세우고 사고(thinking) 수준을 4단계로 고를 수 있다. Google AI Studio·Android Studio·Gemini for Business에서 쓸 수 있고 AI Pro/Ultra 구독자는 Antigravity에서 바로 시험할 수 있다. 벤치마크·가격은 공개되지 않았다. (devday 오늘 인기 4위)
AWS 계정 없이 로컬·CI에서 AWS API를 흉내 내는 공식 도구다. Smithy 서비스 모델에서 만들어 LocalStack 같은 서드파티보다 API 호환성이 높을 것으로 기대된다. 다만 IAM·리소스 정책·KMS 키 정책 같은 보안 제어는 검증되지 않고, 디스크 100GB 이상이 필요하며 RunInstances는 실제 VM을 띄우지 않는다는 한계가 지적됐다. GeekNews에서도 추천 16으로 상위권.
Google DeepMind가 Gemini Decision 1 모델 기반의 분류·판정 전용 API를 내놨다. 텍스트·이미지·오디오·영상·PDF를 한 요청에 넣고 최대 1,000개의 예/아니오형 질문을 한 패스로 평가하며, 지연 150~250ms, 입력 100만 토큰당 0.10달러(출력 무과금)다. 해커뉴스에선 Jev 같은 결정 모델 대비 정확도는 낫지만 비용이 약 2배일 수 있다는 의견이 나왔다.
워크플로가 참조하는 액션의 버전과 커밋 해시를 .github/workflows/actions.lock에 고정해 태그 바꿔치기 공격을 막는다. 하지만 재사용 워크플로, composite 액션, Docker 이미지 기반 액션은 완전히 잠기지 않아 전이 의존성 공격 여지가 남는다. zizmor v1.32.0부터 Lockfile을 지원하니 SHA 고정과 함께 린트를 돌려볼 만하다.
기획서만 보고 AI로 테스트 케이스를 만들면 실제 동작과 어긋나 신뢰도가 낮았다. 운영 브랜치 코드를 판단 기준(Source of Truth)으로 삼는 '코드랙'(grep에서 RAG로 발전)을 도입해 4일 이상 걸리던 테스트 설계를 평균 1.4일로 줄였다. AI는 변경점 탐색을, 사람은 기준 설정·결과 검증·'미확인' 항목 처리를 맡는 분업이 핵심이다.
두 편 연재. 서버 편은 OT 대신 Yjs를 택한 이유와, 문서별 Yjs Doc을 메모리에 두고 WebSocket으로 update를 중계하며 누적 update를 DB에 append 후 일정량마다 mergeUpdates로 압축하는 구조, 기존 blocks 포맷과 상호 변환해 RAG 등 기존 기능을 지킨 전략을 다룬다. 클라이언트 편은 ySyncPlugin 바인딩, origin·mutex 기반 재진입 방지, OrderedMap 중복 로딩으로 생긴 'Schema is missing its top node type' 오류를 peerDependencies로 해결한 경험을 공유한다.
약 90종 도구를 쓰는 사내 에이전트 '깨비AI'에 호출 단위 모델 라우팅을 넣었다. SageMaker에서 XGBoost 분류기(ROC-AUC 0.944)로 난이도를 판정하고, 승급만 허용하는 Elevate-only 정책으로 프롬프트 캐시 효율을 지켰다. 토큰 35.9%·API 비용 15.8%·중간 난이도 응답시간 29%가 줄었고, 평균 품질은 85.6→85.2로 거의 유지됐지만 Hard 구간은 2.3점 하락해 개선 중이다.
데이터 검색 스킬 사용률이 64%에 그치던 분석 에이전트의 지침을 사람이 손으로 고치는 대신, 제안→테스트→학습을 자동 반복하는 루프로 개선했다. 규칙별 테스트 스위트, 회귀 테스트, 수리/파괴 게이트, 수용 비평가 등 안전장치를 두었고, 다만 개선 대부분은 첫 변경에서 나오고 이후 정체됐다는 솔직한 결과도 공유한다.
DEV 운영사 Forem이 magnus·rb-sys로 Ruby 문자열 버퍼를 직접 빌리는 인프로세스 Rust 확장을 붙여 페이지 로드 75% 단축, Ruby 객체 할당 97% 감소를 얻었다. 또 Rails 8.2에 들어올 읽기 전용 bin/rails query는 쿼리 계획·EXPLAIN을 JSON으로 돌려줘 AI 에이전트가 DB를 안전하게 살펴볼 수 있게 한다.
Expo가 공개한 실험적 크로스플랫폼 런타임으로, 화면은 선언형 언어 Contract로, 로직은 TypeScript나 Rust로 쓴다. 목표치는 콜드 스타트 p50 100ms, 웹 핫 리로드 약 0.1초, RealWorld 기준 런타임 26KB(React 81KB)다. 아직 pre-1.0·MIT 라이선스 단계로, AI 에이전트가 코드를 생성·수정하기 쉬운 구조를 전면에 내세운 점이 눈에 띈다.
대규모 SaaS 개발자가 AI 생성 코드가 쌓일 때의 부작용으로 얕은 테스트, 과도하게 복잡한 코드, 개발자의 코드 이해 저하, 리뷰가 속도를 따라가지 못하는 문제를 꼽았다. 인시던트·복구 시간 증가와 사용자만 보는 에러가 그 징후라는 주장으로, GeekNews에서 추천 16을 받으며 논쟁을 불렀다.
YubiKey의 ed25519-sk resident 키, TPM에 PIN으로 묶는 ssh-tpm-agent, macOS Secure Enclave(sc_auth) 세 방식을 실제로 적용한 기록이다. 키 파일이 유출돼도 하드웨어 없이는 쓸 수 없게 되는 것이 핵심이며, 분실·고장에 대비해 authorized_keys에 여러 하드웨어 키를 등록해 두라고 권한다.
월 2.5TB 이상이 AI 봇 크롤링으로 나가던 취미 사이트에서, robots.txt로 금지한 숨은 경로에 접근한 IP를 .htaccess로 자동 차단하는 도구 B6(AGPL v3)를 만들었다. 피크 일일 전송량이 216GB에서 약 25GB로, 일주일 새 400개 넘는 IP가 차단됐다. 댓글에선 PHP가 .htaccess를 직접 쓰는 방식의 동시성 문제도 지적됐다.
macOS AX, Windows UI Automation, Linux AT-SPI 접근성 트리를 JSON으로 돌려주고 요소마다 ref를 붙여 에이전트가 클릭·입력하게 한다. 명령 61개, MCP 서버 모드(agent-desktop mcp)와 C 라이브러리를 제공하며 npm·Homebrew로 설치한다. 픽셀 기반 computer use보다 빠르고 토큰을 덜 쓰는 대안이다.
Sysinternals Process Explorer를 Swift·SwiftUI로 네이티브 구현했다. 실시간 프로세스 트리, 라이브러리·핸들·스레드 패널, TCP/IP 탭, 코드 서명 검사, VirusTotal 조회를 지원하고, 선택적 root 헬퍼(SMAppService)로 더 깊은 정보를 본다. macOS 14 이상이 필요하다.
에이전트가 병렬로 커밋을 쏟아내면서 VCS 서버 층이 바뀌고 있다는 GeekNews 정리 글이다. Anthropic은 10월 사내 모노레포를 자체 VCS Scion으로 옮겨 일일 병합이 5월 약 2,500건→9월 3만 건 이상으로 늘었고, OpenAI는 클라이언트는 그대로 git push를 쓰는 병렬 에이전트용 백엔드 Pando를 공개했다. 병합 큐 병목과 GitHub·GitLab·Cursor·Aspen 등의 대응을 비교한다.
그 외 눈에 띈 글
- 'The Zen of Python' 저자 팀 피터스(1952–2026) 별세(devday · 오늘 인기 8위)
- 구글 Colossus, ML 기반 L4로 SSD/HDD 데이터 배치 최적화(devday · 오늘 인기 7위)
- 레코드가 생기기 전에 사람이 읽는 ID를 할당할 수 없는 이유(devday · 오늘 인기 6위)
- 소프트웨어 '정확성'의 딜레마(devday)
- 삼성 TV 광고를 mitmproxy로 가족사진으로 바꾸기(devday)
- 스마트 TV는 사용자를 어떻게 추적하나? 11개 업체에 던진 17가지 질문(GN 4)
- 험블 번들 로그인 시스템, 보안·기능 오류(devday)
- 타입스크립트 타입 정리 도구 type-tune(devday)
- Atuin Threads — 모든 머신의 에이전트 세션을 한곳에(GN 1)
- OpenMAIC — 주제·문서를 AI 교사와 토론하는 수업으로 만드는 오픈소스(GN 3)
- Gleam을 써보자(GN 3)
- Show GN: HWP·HWPX를 서버 업로드 없이 브라우저에서 PDF로 변환(GN 3)
'오늘의개발뉴스' 카테고리의 다른 글
| 오늘의 개발 뉴스 — 2026년 11월 12일 (목) (0) | 2026.11.13 |
|---|---|
| 오늘의 개발 뉴스 — 2026년 11월 11일 (수) (0) | 2026.11.11 |
| 오늘의 개발 뉴스 — 2026년 11월 10일 (화) (0) | 2026.11.10 |
| 오늘의 개발 뉴스 — 2026년 11월 9일 (월) (0) | 2026.11.09 |
| 오늘의 개발 뉴스 — 2026년 11월 4일 (수) (1) | 2026.11.04 |




