데이터베이스를 한 번의 클릭으로 MCP 서버로 만들기
ZenStack Studio가 기존 PostgreSQL·MySQL·SQLite 데이터베이스를 introspect해 MCP 서버로 연결하는 과정을 소개합니다. Code Mode의 타입 검사와 모델별 권한, 사용자별 access policy를 결합해 복잡한 구축 절차를 한 번의 설정으로 줄이고, 요청마다 사용자 identity를 전달하는 stateless 구조를 구현합니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
T-Mobile COO, iPhone 18 Pro 박스의 IMEI·시리얼 번호 노출
T-Mobile 임원이 입고된 iPhone 18 Pro 박스 사진을 게시하면서 IMEI와 시리얼 번호가 그대로 공개됐다는 내용입니다. 해당 번호는 기기 개통·분실 차단·보증 관리에 쓰이며, 악의적 블랙리스트 등록이나 IMEI 복제 위험이 있지만 개별 기기에 실제 피해가 발생할 가능성은 낮다고 설명합니다.
FBI, 가짜 ‘트래드와이프’ 데이팅 프로필로 ICE 요원을 노릴 수 있다고 경고 — 여성이 요원을 신상 공개하고 ‘망신’ 주려 한다는 내부 메모
FBI 시카고 지부가 전통적 아내 이미지를 내세운 가짜 데이팅 계정으로 ICE 요원을 유인해 신상 공개하려는 시도가 있다고 경고했습니다. 다만 메모에는 출처·사용 플랫폼·실제 피해 여부가 빠져 있었고, 관련 주장은 소셜미디어 동향이나 보수 매체 보도를 재전달한 것일 가능성도 제기됐습니다.
한국, 개인정보 유출 과징금을 매출의 10%까지 상향
한국 개인정보보호위원회(PIPC)가 개정 개인정보보호법 시행과 함께 1천만 명 이상의 개인정보를 고의 또는 중과실로 유출한 기업에 매출의 최대 10%까지 과징금을 부과할 수 있게 했습니다. 유출이 확정되지 않아도 위험이 크면 72시간 내 이용자 통지가 의무화되고, 사전 보호 투자와 신속한 대응에는 최대 40% 감경이 주어집니다.
Wild vs Mold 벤치마킹 — 두 링커의 성능 측정 결과가 엇갈린 이유를 파헤치다
Mold가 링커 벤치마크에 Wild를 처음 포함하면서 Wild가 상당히 느린 것으로 나타났고, 이는 Wild 측이 8월 초에 공개한 결과와 정면으로 배치됩니다. Wild의 저자 David Lattimore가 두 벤치마크의 설정 차이를 하나씩 통제해가며 재현 실험을 한 결과, 출력 파일 삭제 여부·파일시스템·fork 동작 같은 측정 조건과 Mold 자체의 최근 성능 개선이 차이의 대부분을 설명했습니다.
Cloudflare Quick Tunnels — 명령어 한 줄로 로컬 서버를 공개 URL로
Cloudflare가 계정 없이 명령어 한 줄로 로컬 서버를 공개 HTTPS URL로 노출해 주는 Quick Tunnel을 소개합니다. cloudflared가 아웃바운드 전용 연결로 엣지에 붙어 인바운드 포트 개방 없이 암호화·DDoS 필터링을 제공하며, 웹훅 테스트나 AI 코딩 에이전트 루프에 즉시 쓸 수 있는 주소를 만들어 줍니다.
러시아가 슈퍼앱 'Max'로 시민을 감시하는 방법 — 수천만 명에게 강제 설치된 사실상 '백도어'
미시간대학교(University of Michigan) 연구진의 포렌식 분석 결과, 러시아에서 사실상 강제로 보급된 슈퍼앱 Max가 기기 스크린샷 촬영, 미니앱 데이터 접근, 사용자 사칭, 코드 주입까지 가능한 '백도어'인 것으로 드러났습니다. 공무원·교사·학생에게까지 설치가 강요되는 이 앱은 권위주의 국가가 따라 할 수 있는 디지털 감시의 '청사진'이라고 연구진은 경고합니다.
나는 패스키가 마음에 들지 않는다 — 개인에게는 아직 이르다는 비판
빅테크가 최종 로그인 솔루션처럼 밀어붙이는 Passkey에 대한 비판 글입니다. 저자는 Passkey가 피싱 방지와 비대칭 키 구조 덕분에 기업 환경에는 훌륭하지만, 개인에게는 계정 잠금·자동 밴·기기 분실이라는 더 현실적인 위험을 키운다고 주장합니다. 하드웨어 키의 백업 불가와 계정 수 제한, Apple·Google 동기화의 플랫폼 종속, 서드파티 관리자의 파편화된 UX를 근거로 아직 개인용으로는 미성숙하다고 결론 내립니다.
이란의 아마존 데이터센터 공격, 고객 데이터 '영구 손실'로 이어져 — AWS가 인정한 멀티 AZ 설계의 한계
이란의 드론 공격으로 파손된 AWS 데이터센터에서 일부 고객 데이터가 영구적으로 손실됐다고 아마존이 공식 인정했습니다. 바레인 리전은 세 개 가용 영역(Availability Zone) 전체에서, UAE 리전은 mec1-az2 한 개 영역에서 데이터 복구가 불가능했습니다. 물리적 재해가 멀티 AZ 설계의 내성 범위를 넘어설 수 있음을 보여준 드문 사례입니다.
OpenAI 해킹 — libheif 취약점과 SSO 설정 오류로 직원 ChatGPT·Codex 계정 탈취
보안 연구팀 Hacktron이 Discourse 포럼의 libheif 힙 버퍼 오버플로와 OpenAI SSO 설정 오류를 연결해 OpenAI 직원의 ChatGPT·Codex 계정을 탈취하고 내부 모노레포에 접근 가능함을 입증했습니다. 발견부터 저장소 접근까지 72시간도 걸리지 않았으며, 연구자들은 Claude 모델을 활용해 익스플로잇을 개발했습니다. OpenAI는 약 14시간 만에 수정을 완료하고 $6,500의 바운티를 지급했습니다.
Cisco ISE 제로데이 실제 공격 악용 확인 — CVSS 10점 인증 우회 취약점 긴급 패치
Cisco가 네트워크 접근 제어의 중추인 Identity Services Engine(ISE)의 인증 우회 취약점(CVE-2026-76460, CVSS 10/10)에 대한 긴급 패치를 배포했습니다. 이미 실제 공격에 제로데이로 악용됐으며, CISA는 KEV 카탈로그에 등록하고 연방 기관에 3일 내 패치를 요구했습니다. 관리 인터페이스를 우회해 root 권한 명령 실행까지 가능해 즉각적인 대응이 필요합니다.
미 공화당 법안, ISP·DNS 제공자·VPN에 불법 복제 사이트 차단 명령 — MPA가 오랫동안 요구해온 사이트 차단 제도
미국 하원의원 Darrell Issa(공화당, 캘리포니아)가 저작권을 침해하는 해외 사이트에 대해 ISP, DNS 해석 서비스, VPN이 법원 차단 명령을 이행하도록 요구하는 법안을 제출했습니다. Motion Picture Association(MPA)이 오랫동안 추진해온 제도로, Public Knowledge 같은 시민단체는 광범위한 검열 인프라가 될 것이라고 반대합니다.
Vinix – V 언어로 작성된 모던 운영체제
V 언어로 커널을 처음부터 작성한 Unix-like 운영체제 Vinix가 Apple Silicon Mac 지원과 Alpine Linux 바이너리 호환을 내세우며 다시 주목받고 있습니다. 부팅 후 약 100MB RAM과 1GB 디스크만 사용하며, Linux 시스템 콜 인터페이스를 구현해 Chromium, GIMP, Blender 등 기존 패키지를 네이티브로 실행합니다. 현재 M1 GPU 드라이버 개발이 진행 중이며, Wine과 x86 변환 레이어를 기반으로 한 게이밍 지원도 로드맵에 포함되어 있습니다.
CrowdSec 소스 코드 유출 — 백도어가 심어진 Tanstack 컴포넌트가 유력한 침입 경로
보안 업체 CrowdSec이 자사 GitHub 비공개 저장소의 소스 코드가 2026년 5월에 유출됐다는 신고를 9월 16일 접수하고 사실을 확인했습니다. 고객 데이터나 자격 증명의 유출은 없었다고 밝혔으며, 백도어가 심어진 Tanstack 컴포넌트가 읽기 권한 API 키를 탈취한 것이 유력한 침입 경로로 지목됐습니다.
Rust 커뮤니티 주의보 — 유명 Rust 개발자와 인기 크레이트 소유자를 노린 표적 공격 진행 중
Rust 프로젝트가 rust-lang 멤버와 인기 크레이트(crates) 소유자를 노리는 표적 공격 캠페인이 진행 중이라고 공식 경고했습니다. 공격자는 채용·계약 등을 미끼로 한 화상 통화를 통해 악성코드를 설치하게 만들고, 탈취한 계정으로 악성 크레이트를 배포하려는 것이 목적입니다. Rust 사용자라면 MFA 상태와 계정 로그인 기록을 점검할 것이 권고됩니다.
스톨먼: 수천 명 사망, 수백만 명의 자유 박탈 — 9·11 직후 RMS가 경고한 '2차 피해' (2001)
자유 소프트웨어 운동의 창시자 Richard Stallman이 9·11 테러 직후인 2001년에 쓴 에세이입니다. 공격 자체보다 더 위험한 '2차 피해'는 정부가 대량 감시와 암호화 백도어, 무제한 군사 권한을 도입해 시민 자유를 박탈할 때 발생한다고 경고합니다.
조지아 주립대, DHS 검색 전 휴대폰을 초기화한 혐의의 활동가 채용 제안 철회
조지아 주립대(Georgia State University)가 미국 세관국경보호국(CBP)의 휴대폰 검색 직전에 GrapheneOS의 'duress password' 기능으로 기기를 초기화한 혐의로 기소된 활동가 Samuel Tunick의 교육조교 채용 제안을 철회했습니다. 학교 측은 명문화된 정책 없이 '건별 위험 평가'를 근거로 들었고, Tunick은 정치적 탄압이라며 무죄를 주장합니다. 특정 범죄 혐의 없이도 기소될 수 있는지를 둘러싼 디지털 프라이버시 사건으로 주목받고 있습니다.
GitLab.com의 레이트 리밋이 변경됩니다 — 구독 티어별로 차등 적용
GitLab.com이 10월 19일부터 레이트 리밋을 구독 티어별로 차등 적용합니다. 미인증 요청은 IP당 시간 60회로 제한되며, Free는 10월, Premium·Ultimate는 2027년 1월부터 적용됩니다. 대부분의 사용자는 영향이 없지만 익명 자동화 트래픽은 인증 도입이 필요합니다.
"유해 언어 가이드"가 금지한 일상 표현은 실제로 해롭지 않다 — master branch, pipeline 등을 검증한 심리학 연구
기업과 대학의 '유해 언어 가이드'가 금지 대상으로 지목한 단어들(master branch, pipeline, master bedroom 등)이 실제로 독자에게 심리적 해를 끼치는지 검증한 심리학 연구가 발표되었습니다. 두 차례의 실험에서 해당 단어 노출은 불안·소속감·정서에 측정 가능한 부정적 영향을 주지 않았고, 소외 집단 소속 참가자에게도 결과는 동일했습니다.
모두들 제정신을 잃었다 — AI 광풍 속 보안 엔지니어의 분노
시스템 관리자이자 보안 엔지니어인 Jan Schaumann이 AI 열풍에 휩쓸린 업계를 강하게 비판한 글입니다. Anthropic과 OpenAI의 '프론티어 모델' 취약점 연구 프로젝트에 조직들이 수백만 달러 규모의 엔지니어링 자원을 쏟아부었지만, 정작 보안의 병목은 취약점 발견이 아니라 패치 적용이라고 지적합니다. AI가 사용자의 이해를 대체하며 탈숙련을 부추긴다는 경고도 담겼습니다.