Cloudflare Quick Tunnels — 명령어 한 줄로 로컬 서버를 공개 URL로
Cloudflare가 계정 없이 명령어 한 줄로 로컬 서버를 공개 HTTPS URL로 노출해 주는 Quick Tunnel을 소개합니다. cloudflared가 아웃바운드 전용 연결로 엣지에 붙어 인바운드 포트 개방 없이 암호화·DDoS 필터링을 제공하며, 웹훅 테스트나 AI 코딩 에이전트 루프에 즉시 쓸 수 있는 주소를 만들어 줍니다.
개발·오픈소스 · 최신기사
개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
나는 패스키가 마음에 들지 않는다 — 개인에게는 아직 이르다는 비판
빅테크가 최종 로그인 솔루션처럼 밀어붙이는 Passkey에 대한 비판 글입니다. 저자는 Passkey가 피싱 방지와 비대칭 키 구조 덕분에 기업 환경에는 훌륭하지만, 개인에게는 계정 잠금·자동 밴·기기 분실이라는 더 현실적인 위험을 키운다고 주장합니다. 하드웨어 키의 백업 불가와 계정 수 제한, Apple·Google 동기화의 플랫폼 종속, 서드파티 관리자의 파편화된 UX를 근거로 아직 개인용으로는 미성숙하다고 결론 내립니다.
GLM 코딩 에이전트 ZCode, Git 히스토리를 몰래 업로드한다 — 리버스 엔지니어링 분석 공개
개발자 ferstar가 Z.ai의 AI 코딩 앱 ZCode를 리버스 엔지니어링한 결과, 로그인 상태에서 워크스페이스 전체(.git 히스토리, LFS 캐시, reflog 포함)를 암호화해 Aliyun OSS로 업로드하는 사실이 드러났습니다. 서버만 복호화 가능한 봉투 암호화를 사용하며, 설정 토글로는 차단할 수 없고 파일시스템 레벨 잠금만 유효합니다.
Atria Dawn Preview — 상하이 AI 연구소의 744B MoE 기반 에이전틱 모델 프리뷰
상하이 인공지능 연구소(Shanghai Artificial Intelligence Laboratory)가 744B 파라미터 MoE 모델인 GLM-5.2를 기반으로 한 차세대 에이전틱 모델 Atria Dawn Preview를 공개했습니다. 검색·코딩·도구 사용·생산성·보안 벤치마크에서 DeepSeek V4 Pro, KIMI K3, GPT 5.6, Claude Opus 5 등과 비교한 결과를 제시하며, MIT 라이선스로 가중치를 배포하고 Codex CLI·Kimi Code 등 에이전트 도구와의 연동 방법을 상세히 안내합니다.
OpenAI 해킹 — libheif 취약점과 SSO 설정 오류로 직원 ChatGPT·Codex 계정 탈취
보안 연구팀 Hacktron이 Discourse 포럼의 libheif 힙 버퍼 오버플로와 OpenAI SSO 설정 오류를 연결해 OpenAI 직원의 ChatGPT·Codex 계정을 탈취하고 내부 모노레포에 접근 가능함을 입증했습니다. 발견부터 저장소 접근까지 72시간도 걸리지 않았으며, 연구자들은 Claude 모델을 활용해 익스플로잇을 개발했습니다. OpenAI는 약 14시간 만에 수정을 완료하고 $6,500의 바운티를 지급했습니다.
EU AI Act 로깅 규정, 2027년 12월로 연기 — 하지만 로그 요건은 그대로
EU의 Digital Omnibus on AI(Regulation (EU) 2026/1744)로 고위험 AI 시스템의 기록 보관 의무 적용이 Annex III 독립형 시스템은 2027년 12월 2일, 규제 제품 내장 AI는 2028년 8월 2일로 연기되었습니다. 글쓴이는 일정이 밀렸을 뿐 Article 12의 요구 수준은 그대로라고 지적하며, 일반 로그와 감사 가능한 '기록'의 차이를 짚고 이를 충족하기 위해 만든 오픈소스 MCP 서버 Verax를 소개합니다.
미 공화당 법안, ISP·DNS 제공자·VPN에 불법 복제 사이트 차단 명령 — MPA가 오랫동안 요구해온 사이트 차단 제도
미국 하원의원 Darrell Issa(공화당, 캘리포니아)가 저작권을 침해하는 해외 사이트에 대해 ISP, DNS 해석 서비스, VPN이 법원 차단 명령을 이행하도록 요구하는 법안을 제출했습니다. Motion Picture Association(MPA)이 오랫동안 추진해온 제도로, Public Knowledge 같은 시민단체는 광범위한 검열 인프라가 될 것이라고 반대합니다.
JPMorgan, Claude Code에 월 2,000달러 사용 한도 도입 — 샌드박스 환경 'Devspace'도 함께 확대
JPMorgan이 일부 엔지니어의 Claude Code 사용에 월 2,000달러 지출 한도를 적용하기 시작했습니다. 동시에 AWS 기반 컨테이너형 샌드박스 'Devspace'를 도입해 Claude가 직원 자격 증명과 내부 시스템에 접근하지 못하도록 제한했는데, 이는 토큰 비용 급증과 에이전트 보안 리스크에 대한 월가 최대 은행의 대응이라는 점에서 기업 AI 운영의 방향을 보여줍니다.
CrowdSec 소스 코드 유출 — 백도어가 심어진 Tanstack 컴포넌트가 유력한 침입 경로
보안 업체 CrowdSec이 자사 GitHub 비공개 저장소의 소스 코드가 2026년 5월에 유출됐다는 신고를 9월 16일 접수하고 사실을 확인했습니다. 고객 데이터나 자격 증명의 유출은 없었다고 밝혔으며, 백도어가 심어진 Tanstack 컴포넌트가 읽기 권한 API 키를 탈취한 것이 유력한 침입 경로로 지목됐습니다.
Rust 커뮤니티 주의보 — 유명 Rust 개발자와 인기 크레이트 소유자를 노린 표적 공격 진행 중
Rust 프로젝트가 rust-lang 멤버와 인기 크레이트(crates) 소유자를 노리는 표적 공격 캠페인이 진행 중이라고 공식 경고했습니다. 공격자는 채용·계약 등을 미끼로 한 화상 통화를 통해 악성코드를 설치하게 만들고, 탈취한 계정으로 악성 크레이트를 배포하려는 것이 목적입니다. Rust 사용자라면 MFA 상태와 계정 로그인 기록을 점검할 것이 권고됩니다.
프레임워크는 기관의 기억(Institutional Memory)이다 — 추상화가 담고 있는 경험의 가치
1980년대 BBS 시절 플로피 디스크에 비밀번호를 평문으로 저장했던 경험에서 출발해, 성숙한 프레임워크가 '타이핑 절약'이 아니라 다른 사람이 이미 겪은 결정·엣지 케이스·취약점의 기록이라는 논지를 펴는 에세이입니다. 통제(control)에는 항상 책임(responsibility)이 따라붙고, 팀의 주의력은 유한한 '복잡성 예산'이라는 것이 핵심입니다. 최근 코딩 에이전트가 비밀번호 재설정 기능을 5분 만에 만들었지만 재설정 토큰이 재사용 가능했다는 일화로, AI가 해피 패스는 재현해도 불변조건(invariant)은 잃어버릴 수 있다는 문제를 제기합니다.
TLS 핸드셰이크와 OAuth 플로우는 클릭하며 따라가야 배우기 쉽다
백엔드 개발자가 반드시 알아야 하지만 대부분 흐릿하게 기억하는 두 보안 흐름 — TLS 핸드셰이크와 OAuth 인가 코드 플로우 — 를 정적 다이어그램 대신 단계별로 직접 진행하며 배우는 무료 브라우저 시뮬레이터 두 개를 소개한다. 인증서 만료·호스트명 불일치·잘못된 redirect URI 같은 실패 시나리오까지 실행해볼 수 있어, 프로덕션 장애 대응에 필요한 재구성 능력을 기르는 데 초점을 둔다.
PhraseVault 3.0 — 민감한 구문만 골라 PIN으로 잠그는 로컬 스니펫 매니저
매일 반복 입력하는 답변·SQL·템플릿을 관리하는 로컬 스니펫 매니저 PhraseVault가 3.0을 출시했습니다. 전체 볼트가 아니라 은행 정보 같은 민감한 구문만 PIN으로 개별 잠금할 수 있게 된 것이 핵심이며, Windows와 macOS를 지원하고 코드를 직접 검증할 수 있는 source-available 방식으로 배포됩니다.
Cilium — eBPF 기반 Kubernetes 네트워킹·보안·가시성 플랫폼
Cilium은 eBPF 기반 데이터플레인으로 Kubernetes 클러스터의 네트워킹, 로드밸런싱, 네트워크 정책, 서비스 메시, 가시성을 통합 제공하는 오픈소스 CNI입니다. IP가 아닌 아이덴티티 기반 보안 모델로 L3~L7 정책을 적용하고, kube-proxy를 완전히 대체할 수 있는 것이 특징입니다. 현재 v1.18~v1.20 세 개 마이너 버전이 유지보수 중이며 v1.21.0-pre.2 프리릴리스가 공개되어 있습니다.
경쟁사 Android 앱이 어떤 SDK, 광고 네트워크, API를 쓰는지 알아내는 법
Play Store URL에서 출발해 APK를 apktool과 jadx로 풀고 grep으로 광고 SDK·미디에이션 어댑터·API 호스트명까지 식별하는 정적 분석 워크플로우를 무료 도구만으로 소개합니다. 실제 teardown 사례로 6개 광고 네트워크 동시 운영, assets/에 숨겨진 Facebook Audience Network DEX, 프로덕션에 남은 스테이징 엔드포인트 등을 보여줍니다.
채용 과제에서 발견한 npm 공급망 공격 — 정상으로 보이던 가짜 기업의 함정
개발자가 실제 채용 과제를 받는 과정에서 위장 기업이 심어둔 악성 npm 패키지를 발견한 사례입니다. 의존성 트리에 숨어든 transitive dependency가 C2 서버와 통신하며 임의 JavaScript를 실행할 수 있는 구조였고, package.json만으로는 감지할 수 없었습니다. npm install 전에 저장소 자체를 신뢰할 수 없는 소프트웨어로 취급해야 한다는 경고를 담고 있습니다.
Claude-Red — Claude를 레드팀 오퍼레이터로 바꾸는 공격형 보안 스킬 라이브러리
Claude의 Skills 시스템에 바로 넣어 쓸 수 있는 공격형 보안 스킬(SKILL.md) 모음입니다. SQLi부터 EDR 우회, 익스플로잇 개발까지 전문가 수준의 방법론을 구조화된 스킬 파일로 제공하며, 대화 트리거에 따라 필요한 스킬만 온디맨드로 로드됩니다.
vphone-cli — Apple Virtualization.framework로 가상 iPhone을 부팅하는 CLI 도구
Apple Silicon Mac에서 Virtualization.framework와 PCC 리서치 VM 인프라를 활용해 실제 iOS를 구동하는 가상 iPhone을 만들어주는 오픈소스 CLI입니다. IPSW 다운로드부터 부트 체인 패치, DFU 리스토어, CFW 설치, 첫 부팅까지 한 명령으로 자동화하며, 패치 수준에 따라 'less'부터 완전 탈옥(jb)·연구용(exp)까지 다섯 단계 변형을 지원합니다.
9세 아들이 회사 법인카드로 YouTube 광고에 11만 8천 달러 결제 — 20달러 프로모션 한 번이 3주 만에 눈덩이로
한 아버지가 자신의 Google 계정에 저장해 둔 회사 법인카드를 9세 아들이 사용해, Minecraft·Roblox 게임플레이 채널의 YouTube 광고 캠페인에 약 3주간 118,000달러를 결제한 사건이 알려졌습니다. 아이는 아버지가 시범으로 보여준 20달러 프로모션을 '한도'가 아닌 절차로 이해하고 스스로 캠페인을 반복 생성했습니다. Google 결제 프로필이 계정 단위로 저장·공유되는 구조와 미성년자 계정 관리 문제가 함께 드러나 개발자 독자에게도 시사점이 있습니다.
NSA가 공개한 리버스 엔지니어링 프레임워크 Ghidra — 디컴파일부터 스크립팅까지 지원하는 SRE 도구 모음
미국 국가안보국(NSA) 연구국이 개발하고 유지보수하는 소프트웨어 리버스 엔지니어링(SRE) 프레임워크 Ghidra가 GitHub에 올랐습니다. 디스어셈블리, 디컴파일, 그래프 시각화, 스크립팅 등을 지원하며 Java나 Python으로 확장할 수 있는 오픈소스 프로젝트입니다. 악성코드 분석과 취약점 연구에 활용되는 대표적인 무료 SRE 도구입니다.