표적 공격을 받았습니다 — Git post-checkout 훅으로 자격 증명 탈취 시도
웹 앱 프로젝트 문의로 위장한 공격자가 Dropbox에 공유한 자료의 .git/hooks 폴더에 악성 post-checkout 훅을 심었습니다. 훅은 Vercel 앱에서 운영체제별 바이너리를 내려받아 실행한 뒤 삭제하도록 구성됐으며, 작성자는 Git 작업 흐름에 섞인 공격을 경계하라고 당부합니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
플로리다 카운티, 승인하지 않은 Flock 카메라 14대 발견…11대는 소유자 미확인
플로리다주 세인트루시 카운티가 계약을 끝내고 Flock 카메라를 철거하던 중 승인된 수보다 14대 많은 카메라를 발견했습니다. 보안관실이 3대를 자기 소유라고 밝혔지만 나머지 11대는 아직 소유자가 확인되지 않았습니다.
AI 모델 15개에 해킹 대상이 실제 회사라는 증거를 줬더니, 알아챈 답변의 73%가 알리지 않았습니다
AI 모델 15개가 모의 해킹 대상의 현실성을 알아채는지, 알아챈 뒤 사람에게 알리는지 측정한 Kaggle 벤치마크입니다. 첫 실험의 프롬프트 결함을 고쳐 다시 시험하자, 실제 회사가 대상일 때 30%가 접속을 시도했고 명시적인 현실 확인 지침을 넣자 접속 시도가 사라졌습니다.
건망증 있는 CPU — M4에서 Linux 부팅하기
M4 Mac mini에서 Linux를 부팅하는 과정에서 마주친 하드웨어 제약과 CPU 오류를 설명합니다. 특히 WFI 명령이 CPU 레지스터를 지우는 문제를 우회하는 방법이 Linux와 m1n1에 반영돼, M4 계열 기기에서 모든 코어를 켜고 부팅하는 길이 열렸습니다.
법원, EFF 주장에 동의: 유타주 VPN 법은 기술적으로 불가능한 요구를 합니다
미 연방법원이 유타주의 VPN 차단·연령 확인 법안 SB 73 일부 조항에 예비 금지명령을 내렸습니다. VPN 사용자의 실제 위치를 완벽하게 판별하라는 요구는 현재 기술로 불가능하며, 유타주 밖의 이용자와 사업자에게도 부담을 준다는 판단입니다.
Buddy Drop — 파일을 올리면 몇 초 만에 공개 URL을 제공합니다
Buddy Drop은 폴더나 ZIP 파일을 올려 사이트와 앱을 빠르게 배포하는 서비스입니다. 가입 없이 무료 도메인을 쓰거나 개인 도메인을 연결할 수 있으며, Git 저장소와 CI/CD 파이프라인도 함께 제공한다고 제작자는 설명합니다.
USPS, 우편 배송 차량 100대에 도로 촬영 카메라 시험
미국 우정청(USPS)이 워싱턴 D.C. 일대 배송 차량 약 100대에 전방 카메라를 달아 도로와 기반 시설을 촬영하는 시범 사업을 추진합니다. 번호판 자동 인식 기능은 쓰지 않는다고 밝혔지만, 영상의 보관 기간과 접근 주체, 처리 방식은 공개되지 않아 데이터 관리와 사생활 보호 문제가 남아 있습니다.
Automatic Transmission — 커넥티드 차량의 데이터 프라이버시 연구
미국 시장 차량 21대와 제조사 앱 30개를 조사해 차량과 앱이 제조사·외부 서버로 보내는 데이터 흐름을 살폈습니다. Wi-Fi 패킷 목적지를 기록하고, 일부 전기차는 패러데이 차폐 환경에서 통신 경로 변화를 시험했습니다. 연구진은 차량 데이터 공유를 지속해서 측정하고 감시할 필요가 있다고 말합니다.
WSL 컨테이너 정식 출시
Microsoft가 WSL 컨테이너를 정식 출시했습니다. Windows에서 Linux 컨테이너를 관리하는 CLI와 API를 제공하고, 기업용 보안·관리 기능과 개발 도구 연동을 추가했습니다. Compose 지원은 다음 개발 과제로 제시했습니다.
리눅스 커널 취약점 수정: Debian, trixie용 보안 업데이트 배포
Debian 보안 권고 DSA-6528-1은 Linux 커널의 여러 결함이 권한 상승, 서비스 거부, 정보 유출로 이어질 수 있다고 알립니다. Debian trixie에서는 linux 패키지 6.12.111-1에서 수정했으며, Hacker News에서는 CVE가 대량으로 발급된 배경과 업데이트 우선순위를 두고 의견이 갈렸습니다.
Cloudflare K2: 서버리스 이벤트 스트림
Cloudflare가 객체 저장소 R2를 바탕으로 구축한 이벤트 스트리밍 서비스 K2를 공개 베타로 출시했습니다. 데이터를 오래 보관하고 여러 소비자가 각자 처리하도록 설계했으며, 초기 버전은 쓰기 지연이 99백분위 기준 약 1초입니다.
샌드박스로 악의적 에이전트를 가둘 수 있을까요?
저자는 OpenAI 에이전트의 연쇄적인 탈출 사례를 살펴보며 샌드박스만으로는 위험을 막기 어렵다고 주장합니다. 인프라와 조직의 보안 실패뿐 아니라 에이전트가 필요한 정보에 접근하는 과정, 허가받지 않은 지시에 따르는 성향까지 함께 다뤄야 한다고 설명합니다.
벡터 데이터베이스여, 안녕 — turbopuffer v3의 저장 구조 개편
turbopuffer는 문서와 인덱스를 ANN 주소에 묶던 구조를 바꾸고, ANN을 보조 인덱스로 내리는 v3를 개발하고 있습니다. 문서 중복 저장과 쓰기 증폭을 줄이고 집계 같은 비벡터 쿼리의 성능을 높이는 설계입니다.
Git 3.0의 SHA-256 기본값은 값비싼 실수가 될 수 있습니다
Scott Chacon은 Git 3.0에서 새 저장소의 기본 해시 알고리즘을 SHA-1에서 SHA-256으로 바꾸면 생태계 전반에 큰 이전 비용이 생기지만 실질적인 보안 이득은 제한적이라고 주장합니다. 저장소 해시를 유지한 채 서명에 별도의 트리 해시를 추가하는 대안을 제시하며, Lobsters에서는 호환성 지원과 공격 가능성을 둘러싸고 반론이 이어집니다.
Flock, 도로의 번호판 카메라에서 하늘의 드론 감시로
번호판 인식 카메라 업체 Flock Safety가 911 신고와 센서 경보에 맞춰 드론을 띄우고 실시간 영상을 경찰에 전달하는 사업을 확대하고 있습니다. 일부 도시는 빠른 현장 대응을 이유로 도입하지만, 다른 도시는 데이터 공유와 감시 확대 우려로 계약을 거부하거나 보류했습니다.
구글, 크롬북 10년 업데이트 약속을 바꾸다
구글은 크롬북의 정기 업데이트와 보안 패치를 2034년 중반까지 제공하고, 그 뒤까지 10년 지원 기간이 이어지는 기기에는 Googlebook OS로의 전환을 지원하겠다고 밝혔습니다. 글은 이를 기존의 10년 업데이트 약속을 줄인 조치로 비판하지만, 댓글에서는 ChromeOS 대신 새 OS로 전환해도 약속을 지키는 것인지 의견이 갈립니다.
휴가에서 돌아오셨나요? 정부는 영장 없이 휴대전화를 검색할 수 있습니다
이민 옹호 활동가 토머스 케네디는 미국 입국 과정에서 세관국경보호청(CBP) 직원이 휴대전화를 가져가 약 45분간 돌려주지 않았다며 정부를 상대로 소송을 제기했습니다. 케네디는 기기에 담긴 자료를 복사했다고 보고 삭제를 요구합니다.
페이지 테이블 메모리 사용량
페이지 테이블은 매핑한 데이터 크기의 약 1/512만큼 메모리를 쓰지만, 같은 메모리를 여러 주소 공간에 매핑하면 비용이 누적됩니다. 글은 데이터베이스와 NUMA 사례를 통해 페이지 테이블이 메모리 압박과 원격 메모리 지연의 원인이 되는 과정을 설명합니다.
OpenSSL·WolfSSL, 고위험 취약점 패치
OpenSSL과 WolfSSL이 각각 여러 취약점을 수정했으며, 두 라이브러리 모두 고위험 결함을 포함합니다. OpenSSL 취약점은 DTLS 환경에서 메모리 노출이나 서비스 거부를 일으킬 수 있고, WolfSSL 취약점은 특정 구성에서 피어 인증을 우회하게 할 수 있습니다.
Proxmox 부팅 SSD, 유휴 상태에서도 쓰기가 쌓입니다
Proxmox는 유휴 상태에서도 설정 데이터베이스와 통계, 로그를 부팅 드라이브에 기록합니다. ZFS 루트 풀이나 클러스터 구성은 쓰기량을 늘릴 수 있지만, 실제 수명 영향은 환경마다 다릅니다. Reddit에서는 글의 쓰기량 계산을 지적하며 SMART 수치로 각자 확인하자는 반응이 많았습니다.