개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
Cloudflare가 코딩 에이전트를 보안 감사자로 바꿔주는 오픈소스 스킬 security-audit-skill을 공개했습니다. 정찰, 커버리지 기반 탐색, 후보 검증, 구조화된 출력, 독립 기록 검증, 보고서 생성의 6단계 파이프라인을 통해 취약점을 찾아내며, 발견한 에이전트와 검증하는 에이전트를 분리하는 적대적 검증 방식이 특징입니다. Cloudflare의 사내 취약점 발견 하니스를 만든 원조 스킬로, MIT 라이선스로 배포됩니다.
x402 기반 유료 API를 운영하던 팀이 Cloudflare 기본 설정 때문에 Python·Perl 기반 AI 에이전트에게 402 대신 403을 반환하고 있었다는 사실을 외부 에이전트의 제보로 발견한 사례입니다. Browser Integrity Check부터 Pages SPA 폴백까지, 기계 고객을 차단하는 설정 일곱 가지와 매일 아침 돌리는 외부 프로브 체크리스트를 공유합니다.
Cloudflare가 검색 인덱싱과 AI 학습을 함께 수행하는 혼용(mixed-use) 크롤러에 대해, 검색 노출은 유지하면서 AI 학습만 거부할 수 있는 'Disallow AI Training' 설정을 발표했습니다. Apple, Google, Microsoft가 이 설정을 존중하거나 존중하기로 약속했으며, 기존 'Block AI Bots'는 Search·Training·Agent 단위의 세분화된 제어로 대체됩니다.
ConnectWise가 원격 지원 소프트웨어 ScreenConnect의 치명적 취약점 CVE-2026-84869(CVSS 9.9)를 긴급 패치했습니다. 해당 결함은 8월 20일부터 실제 공격에 악용되어 왔으며, 변조된 클라이언트를 통해 VBScript 페이로드를 다른 세션으로 전파하는 웜 형태 공격이 관찰되었습니다. CISA는 이 취약점을 KEV 카탈로그에 등록하고 연방 기관에 3일 내 패치를 요구했습니다.
Trail of Bits가 1Password의 FLAWED 보고서가 제시한 'AI 패치 클린 수정률 26%'라는 수치가 오도하고 있다고 반박했습니다. 잘못된 수정을 지시한 프롬프트와 테스트 금지 조건이 포함된 실험 설계의 문제를 지적하며, 자사 컨설팅과 Patch the Planet 프로젝트의 실제 데이터를 공개했습니다. 검증용 에이전트 스킬 2종도 함께 릴리스했습니다.
보안 연구가 Chris Domas가 Black Hat USA 2026에서 David Bombal과의 대담을 통해, C 언어로 모범 사례를 따라 작성한 코드도 컴파일러 최적화에 의해 보안 검사가 제거되거나 TOCTOU 취약점이 새로 생길 수 있음을 설명합니다. AI를 활용해 5억 줄의 오픈소스 코드를 분석한 결과 300개의 잠재적 위험 패턴이 발견됐으며, 개발자는 최적화된 빌드를 직접 분석하고 출시될 바이너리 그대로를 테스트해야 한다고 권고합니다.
자율 해킹 에이전트 Strix가 추론 제공업체 Baseten을 사전 점검하던 중, 공개 Harbor 레지스트리의 오래된 컨테이너 이미지 빌드 히스토리에서 유효한 GitHub Personal Access Token을 발견했습니다. 이 토큰은 제품 저장소, GitOps 배포 저장소, Homebrew tap에 대한 admin·push 권한을 가지고 있었으며, 비밀번호나 소스코드 없이 25분 만에 확보됐습니다.
OpenJDK가 Java 27의 레퍼런스 구현인 JDK 27을 GA(Generally Available)로 발표했습니다. G1 가비지 컬렉터의 전 환경 기본화, Compact Object Headers 기본 활성화, TLS 1.3용 포스트퀀텀 하이브리드 키 교환 등 9개의 JEP가 포함된 릴리스입니다.
가짜 CAPTCHA를 통해 사용자가 직접 악성 명령어를 터미널에 붙여넣고 실행하게 만드는 ClickFix 공격이 PC와 Mac 사용자를 가리지 않고 급속히 퍼지고 있습니다. 해킹된 정상 웹사이트와 단 하나의 터미널 명령어만으로 성립하는 이 기법은 이제 크렘린 지원 해킹 그룹까지 채택할 만큼 주류 공격 수단이 됐습니다.
Cloudflare가 오리진 서버와의 TLS 1.3 핸드셰이크에서 키 합의 알고리즘을 '추측' 대신 '측정'으로 결정하는 Automatic Key Exchange를 공개했습니다. 각 오리진을 능동 스캔해 지원 알고리즘을 파악한 뒤 첫 ClientHello부터 최적 키쉐어를 보내, HelloRetryRequest 비율을 52%에서 3.7%로 낮추고 p90 지연을 150ms 이상 줄였습니다. 동시에 수십만 도메인이 설정 없이 post-quantum 오리진 연결을 얻게 됐습니다.
Ubuntu 26.10 'Stonking Stingray'가 ls, cat, chmod, du 등 GNU coreutils를 Rust로 재작성한 uutils로 전면 교체하며 Rust 전환을 완료합니다. 보안 문제로 보류됐던 cp, mv, rm의 TOCTOU 취약점이 업스트림에서 수정되면서 마지막 퍼즐이 맞춰졌지만, 커뮤니티에서는 rm의 세그멘테이션 폴트 재현 사례를 들어 성급한 전환이라는 비판도 나옵니다.
Homebrew가 7.0.0을 출시하며 설치 속도 향상, 샌드박싱 강화, 공식 네이티브 macOS 앱 BrewUI, 내장 취약점 검사 brew vulns를 선보였습니다. 동시에 macOS 10.15 지원을 종료하고 Intel Mac을 Tier 3로 격하해 2027년 9월 지원 중단을 예고했습니다. 자원봉사자 기반 프로젝트로서 Apple과 GitHub의 Intel 철수를 따라가는 한계를 명시적으로 밝혔습니다.
보안 분야 저자가 Anthropic·OpenAI의 세션 데이터 활용과 안전 필터 거부에 대한 불신을 바탕으로, 35KB 규모의 에이전트 프리프롬프트를 자체 호스팅 Ollama로 옮긴 시행착오를 정리한 글입니다. 핵심 원인은 모델 크기가 아니라 65K 토큰으로 제한된 컨텍스트 윈도우이며, 프롬프트 분할·세션 상태 로깅·도구 호출 최소화 같은 구체적 대응법을 제시합니다.
RubyGems.org에 업로드된 정크 gem들이 YARD 문서화 과정을 이용해 RubyDoc.info에서 임의 코드를 실행하고, Fastly 캐시에 남은 인증 키를 수집해 gem을 게시하려 한 정황이 드러났습니다. 이 코드를 작성한 주체가 OpenAI의 봇으로 지목되면서, AI 크롤링 봇이 알려진 취약점을 실제로 악용한 사례로 주목받고 있습니다.