임포스터를 뽑은 적이 없었습니다 — 역할 배정을 검증 가능하게 만들다
Among Us 오픈소스 클론의 역할 배정은 가장 높은 플레이어 ID를 가진 클라이언트가 임포스터를 자처하는 방식이었습니다. 개발팀은 Midnight의 Compact 계약과 커밋먼트, 비공개 증명을 이용해 역할 배정과 처치를 검증하는 Shadow Protocol을 만들었으며, 데모는 실제 블록체인 대신 같은 규칙을 검사하는 모의 원장으로 실행했습니다.
개발·오픈소스 · 최신기사
개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
n8n AWS 문서를 따라 했더니 첫 명령부터 실패했습니다
Amazon Linux 2023에서 Docker를 설치해도 Compose 플러그인은 함께 설치되지 않아 `docker compose`가 실패합니다. 글은 플러그인 설치부터 Postgres를 사용하는 n8n 구성, EC2 보안 설정까지 단계별로 안내합니다.
개인용 AI 에이전트의 사고 사례가 잇따르고 있습니다
개인용 AI 에이전트가 이메일의 일회용 로그인 코드를 읽고 계정에 접속하거나, 잘못된 개인정보를 꾸며내는 사례가 전해졌습니다. Meta의 Muse에서도 음성 명령을 가로챌 수 있는 취약점이 발견돼 수정됐으며, 에이전트에 부여하는 권한과 실행 전 확인 절차가 보안 쟁점으로 떠올랐습니다.
OpenBao — 비밀·인증서·키를 관리하는 오픈소스 시스템
OpenBao는 비밀, 인증서, 키를 저장하고 배포하는 시스템입니다. 암호화 저장, 필요할 때 발급하는 동적 자격 증명, 만료·갱신·폐기 기능으로 여러 시스템의 비밀 정보를 관리합니다.
Anthropic 공식 Claude Code 플러그인 디렉터리
Anthropic이 관리하는 Claude Code 플러그인 마켓플레이스입니다. 내부 플러그인과 외부 파트너·커뮤니티 플러그인을 제공하며, 설치 방법과 플러그인 구성 형식, 이름 변경 규칙을 안내합니다. 설치 전 플러그인과 포함된 MCP 서버를 신뢰할 수 있는지 확인해야 합니다.
Claude Code 에이전트, 103초 만에 파일 4만 8천 개 삭제했다는 주장
사용자 보고에 따르면 Claude Code 에이전트가 Windows의 디렉터리 junction을 따라가며 의도한 미러 파일 외에 실제 프로젝트 파일 48,218개와 로컬 Git 객체를 삭제했습니다. Windows 경로 처리의 허점과 에이전트 권한 관리 문제를 보여주는 사례지만, 독립적인 포렌식 조사는 공개되지 않았습니다.
wifit3 — USB 어댑터만으로 구동하는 크로스플랫폼 Wi-Fi 감사 도구
wifit3는 Linux, Windows, macOS에서 USB Wi-Fi 어댑터를 다루는 독립형 감사 도구입니다. 운영체제의 기본 Wi-Fi 스택을 우회하고 사용자 공간에서 무선 기능을 제어하며, 네트워크 탐지와 WPA/WPS 관련 보안 점검 기능을 제공합니다.
Lyzr의 OpenController — 통합 제어 평면으로 모든 에이전트를 관리합니다
OpenController는 클라우드, SaaS, Kubernetes, 기기에 흩어진 AI 에이전트와 모델, 워크플로를 한곳에서 찾고 관리하는 제어 평면입니다. 자체 클러스터에 배포하며 요청 경로에서 정책을 검사해 허용되지 않는 호출을 차단합니다.
CtrlOps 1.0 — AI로 서버를 감사하고 관리하며 배포합니다
CtrlOps는 AI 명령 생성과 승인 절차, 서버 감사, 접근 관리, 배포, 모니터링을 한곳에 모은 서버 관리 도구입니다. 자격 증명은 로컬에 보관하며, 보안 감사에서는 25개 항목을 점검하고 수정 명령을 제안합니다.
회사가 비용을 내지만, 우리를 믿어야 하는 사람은 직원입니다
익명 제보 SaaS를 만드는 팀이 구매자인 회사와 실제 사용자인 직원 사이의 이해 충돌을 설명합니다. IP 기록, 계정, 이메일 수집 같은 기술 결정이 직원의 신뢰와 제품 성과 지표, 마케팅에 어떤 영향을 주는지 짚습니다.
CVE-2026-91766: PHP 리다이렉트에서 인증 정보 유출, curl은 2018년에 수정한 문제
PHP의 file_get_contents()와 fopen()은 리다이렉트를 따라갈 때 Authorization, Cookie 같은 헤더를 다른 출처에도 보냈습니다. PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11에서 출처의 스킴·호스트·포트를 비교해 인증 헤더를 제거하도록 수정했습니다.
‘충분히 좋은’ AI 시대의 보안 감사
Trail of Bits는 Miden VM 감사를 준비하며 AI 에이전트로 MASM용 개발 도구와 정적 분석기, Lean 모델을 만들었습니다. 이 도구들은 서명 위조로 자금을 탈취할 수 있는 취약점과 테스트가 놓친 버그를 찾았고, 95개의 기계 검증 증명도 만들었습니다.
빌드 로그의 XSS로 이어진 SourceHut 계정 탈취
SourceHut의 빌드 로그에서 ANSI 출력을 HTML로 바꾸는 ansi2html의 OSC 8 링크 처리에 XSS 취약점이 발견됐습니다. 공격자는 공개 메일링 리스트의 CI 작업 로그에도 악성 입력을 심을 수 있었고, 피해자가 로그를 열면 세션 내 요청을 위조해 계정 권한과 배포 키에 접근할 위험이 있었습니다.
Product Hunt에서 방문자가 거의 없어 무료 점검 도구를 만들었습니다
Product Hunt 출시에서 방문자와 매출을 거의 얻지 못한 개발자가 기능 추가 대신 신뢰와 유입 문제를 살피고, SaaS 운영 준비 상태를 확인하는 무료 체크리스트를 만들었습니다. 무료 도구가 유료 제품의 잠재 고객을 만드는지 시험하고 있습니다.
VSCode의 SSH 에이전트는 너무 과합니다 (2025)
VSCode Remote-SSH는 원격 서버에 Node.js를 포함한 에이전트를 설치하고, SSH 터널로 로컬 VSCode와 WebSocket 연결을 맺습니다. 원격 파일 편집과 셸 실행뿐 아니라 원격 호스트가 로컬 머신에 명령을 실행할 위험도 있어, 개발 서버나 운영 서버에서 쓸 때 신뢰 경계를 확인해야 합니다.
최소한의 코드로 애플리케이션 샌드박싱하기
Inko에 운영체제별 샌드박싱 기능을 감싼 공통 API가 추가됐습니다. 예제 서버 shost는 필요한 디렉터리 읽기와 TCP 포트 바인딩만 허용하고 나머지 접근을 차단합니다. 다만 FreeBSD의 Capsicum은 프로그램 구조를 바꿔야 해 API가 지원하지 않으며, 댓글에서는 이런 간편한 추상화의 한계와 Capsicum 활용법을 두고 논쟁이 이어집니다.
Radicle 네트워크 프로토콜 취약점 공개
Radicle 개발팀이 모든 공개 버전에 영향을 주는 네트워크 취약점 두 건을 공개했습니다. 노드 간 통신이 암호화되지 않고 연결 상대 인증도 우회할 수 있어, 수정 버전이 나올 때까지 비공개 저장소를 네트워크로 공유하지 말라고 권고했습니다.
Show HN: Drop — gVisor를 지원하는 루트리스 Linux 샌드박스
Drop은 기존 Linux 배포판과 설치된 프로그램을 그대로 쓰면서 코딩 에이전트나 외부 프로그램을 격리하는 루트리스 샌드박스입니다. Linux 네임스페이스를 기본 격리 수단으로 쓰고, 선택적으로 gVisor를 붙여 호스트 커널과 프로그램 사이에 사용자 공간 커널을 둡니다.
WordPress 비인증 경로 순회 취약점, 조건에 따라 원격 코드 실행 가능
WordPress의 페이지 템플릿 탐색 과정에서 인증 없이 경로 순회를 일으켜 테마 디렉터리 밖의 PHP 파일을 불러올 수 있는 취약점이 발견됐습니다. 테마와 서버 설정 등 조건이 맞으면 원격 코드 실행으로 이어질 수 있으며, WordPress 7.1.2와 4.7 이후 각 브랜치에 수정 사항이 배포됐습니다.
SAML: 나쁜 설계가 반복되는 프로토콜
Trail of Bits는 XML 서명과 정규화, 구현 간 파서 차이, 과도한 명세 범위가 SAML의 보안과 유지보수를 어렵게 만든다고 설명합니다. 새 서비스에는 OpenID Connect(OIDC)를 우선 적용하고, 기존 SAML 연동은 단계적으로 종료하자는 주장입니다.