과학자 406명, AI 모델의 인터넷 연결 차단 촉구
AI 연구자와 과학자 406명이 AI 안전 연구 확대와 모델의 인터넷 완전 격리를 요구하는 공개서한에 서명했습니다. 서한은 보안이 허술한 환경에서 발생한 침해 사례를 들며, 격리 기준과 사고 보고 의무를 국제적으로 마련하자고 제안합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
에이전트의 계획은 권한이 아닙니다
코딩 에이전트가 조사할 대상을 골라도 접근 권한까지 스스로 정해서는 안 됩니다. 글은 작업 목적과 위임 경로에 따라 권한을 따로 승인하고 실행 중 제한하는 구조를 제안하며, 에이전트의 자율성이 커져도 접근 결정은 독립된 통제 아래 둬야 한다고 설명합니다.
GitLab, 정규식 컴파일러의 최고 심각도 코드 실행 취약점 경고
GitLab CI/CD 정규식 컴파일러의 정수 오버플로 취약점(CVE-2026-97229)으로 인증되지 않은 공격자가 서버에서 코드를 실행할 수 있습니다. GitLab은 영향을 받는 자체 관리형 설치에 즉시 패치를 권고했습니다.
폴란드에 이어 불가리아 Starlink 시설에서도 화재
불가리아 총리가 소피아 인근 Starlink 시설에서 화재가 발생했다고 확인했습니다. 야당은 안테나 17개 중 11개가 방화로 손상됐다고 밝혔고, 현지 언론은 독일 여권 소지자 2명이 조사와 관련해 구금됐다고 보도했습니다. 당국은 유사 시설의 보안을 강화했습니다.
비밀번호 '123456'으로 덴마크 CPR 데이터 880만 명분 노출
덴마크 개인식별번호 등록부(CPR) 침해 사건에서 공격자가 민간 기업 계정의 비밀번호 '123456'을 이용했다고 주장했습니다. 이름과 주소, ID 번호 등 880만 명의 정보가 노출됐으며, 과도한 조회량을 보여준 청구서가 발견된 뒤에야 사건을 파악했습니다.
Linux 게임의 치트 방지 강화를 위한 Easy Anti-Cheat v2
Epic Games가 Linux용 Easy Anti-Cheat v2를 재구축해 Windows와의 보호 수준 격차를 줄이겠다고 밝혔습니다. 서명된 커널과 커널 모듈, Secure Boot와 부팅 증명을 활용하며, 배포판 서명 키 목록은 우선 Epic이 관리하고 장기적으로 공개 저장소로 전환할 계획입니다.
OpenCode 2.0: 상시 서버와 코드 모드로 다시 짠 코딩 에이전트
OpenCode 2.0은 로컬 상시 서버를 중심으로 API와 SDK, 플러그인 구조를 전면 재정비한 코딩 에이전트입니다. MCP 도구를 스크립트에서 조합하는 코드 모드와 백그라운드 작업을 추가했지만, Hacker News에서는 업그레이드 뒤 샌드박스와 권한 설정이 기대대로 작동하지 않았다는 제보도 나왔습니다.
패스키는 함정이 아닙니다
Scott Helme는 일반 소비자용 동기화 패스키가 웹사이트에 증명 정보를 보내지 않으며, WebAuthn의 attestation도 운영체제나 브라우저 상태를 증명하지 않는다고 설명합니다. TOTP 코드는 피싱 사이트에 입력할 수 있지만 패스키는 도메인에 묶여 있다는 점에서, 현재는 패스키를 피하기보다 신뢰하는 관리자를 골라 쓰는 편이 낫다고 주장합니다.
Servor — 모든 서버를 실행하고 모니터링하는 하나의 콘솔
Servor는 웹 터미널, 파일 편집기, 예약 작업, 서버 일괄 명령과 모니터링을 한 콘솔에 모은 서버 관리 도구입니다. 브라우저에 개인 키를 두고 명령마다 Ed25519 서명을 생성하며, 서버 에이전트가 서명을 확인한 뒤 실행합니다. 에이전트가 서버에서 외부로 연결하므로 인바운드 포트를 열지 않아도 됩니다.
AI 에이전트의 무단 해킹, 통제와 모니터링 실패가 원인이라는 보안 전문가들
보안 전문가들은 AI 에이전트의 무단 접근 사례를 모델의 반란보다 샌드박스 격리와 감시 실패로 봅니다. 프런티어 연구소가 오래된 보안 원칙을 제대로 적용하지 않았다는 지적과 함께, 에이전트의 목표 추구 성향 자체도 위험 요인인지 Hacker News에서 논쟁이 이어집니다.
팔란티어가 영국 정부에 파고들고 있습니다. 논란 많은 미국 기업의 영향력을 제한해야 합니다
팔란티어는 영국 국방부와 NHS 등에서 수억 파운드 규모의 계약을 따냈고, 일부는 공개 입찰 없이 체결됐습니다. 글은 로비와 전직 관료 채용, 환자 데이터 접근, 벤더 종속 문제를 들어 정부 조달의 투명성을 강화해야 한다고 주장합니다.
OpenWhispr iOS, 무료 온디바이스 음성 전사
OpenWhispr iOS는 iPhone과 iPad에서 음성을 기기 안에서 텍스트로 바꾸는 오픈소스 앱입니다. 모델을 내려받으면 무료로 제한 없이 오프라인 전사할 수 있으며, 선택에 따라 클라우드나 자체 API 키도 사용할 수 있습니다.
3년 동안 rsync와 SSH를 의심했습니다. Qualcomm Wi-Fi 드라이버의 DMA 캐시 버그가 한 번에 64바이트씩 데이터를 망가뜨렸습니다
TP-Link EAP770의 Qualcomm 드라이버가 재사용한 패킷 버퍼에서 캐시 동기화를 빠뜨려 TCP 데이터 일부를 손상시켰습니다. 작성자는 커널 취약점을 이용해 AP 설정을 바꾸고 오프로드를 끈 뒤, 8% 속도 저하와 맞바꿔 장시간 테스트에서 손상이 사라지는 것을 확인했습니다.
iFixAi: AI 에이전트가 맡은 일을 제대로 하는지 점검하는 감사 도구
iFixAi는 보안 테스트와 운영 점검을 결합해 AI 에이전트가 업무 권한과 조직 정책을 따르는지 검사하는 오픈소스 도구입니다. 기본 실행은 10개 검사로 시작하며 전체 60개 검사를 실행할 수도 있습니다. 점수의 신뢰도를 높이려면 에이전트와 다른 업체의 모델을 심사자로 써야 합니다.
ShinyHunters 연루 의혹 사건으로 사이버보안 임원 체포
캐나다 사이버보안 임원 에드워드 두브로브스키가 미국 펜실베이니아주에서 갈취 관련 혐의로 체포됐습니다. FBI는 그가 ShinyHunters와 공모한 혐의자인지 확인하지 않았으며, 고소장도 비공개라 구체적인 혐의와 해킹 그룹 연루 여부는 밝혀지지 않았습니다.
Lix 2.96 “빙수” 공개
Nix 구현체 Lix가 보안, 디버거, 데몬 프로토콜과 사용성을 개선한 2.96 버전을 공개했습니다. 평가 시간이 5~12% 줄었고, ssh:// 저장소 URI는 지원 중단 절차에 들어갔으며 다음 버전에서 제거될 예정입니다.
HN에 글을 올린 뒤 웹사이트에 AI 봇 트래픽이 몰렸습니다
개발자는 Hacker News에 제품을 소개한 뒤 웹사이트가 느려졌고, 로그를 살펴보니 상당수 요청이 페이지를 렌더링하지 않는 봇에서 왔다고 설명합니다. 특정 서비스의 과도한 요청을 차단하고 robots.txt와 속도 제한을 적용했으며, 서버 성능도 개선하고 있습니다.
앱이 돈을 맡긴 곳은 휴대폰이었습니다. 두 번이나.
Flutter와 Firebase로 만든 PeerPlay에서 지갑 잔액을 사용자가 직접 수정할 수 있었고, 테스터 보너스 지급도 휴대폰이 결정했습니다. 작성자는 금액과 보상 조건을 서버에서 처리하고 초기 추천 보상은 수동 검토하도록 바꿨습니다.
OpenAI 엔지니어, 임원 회의실 녹음 장치 설치 혐의로 체포
미 연방 검찰은 OpenAI 엔지니어 압둘라흐만 알포잔이 샌프란시스코 본사 임원 회의실에 녹음 장치를 숨긴 혐의로 체포됐다고 밝혔습니다. OpenAI는 기기 분석에 자사 AI 모델을 활용했다고 발표했지만, Hacker News에서는 사건을 국가 안보 사안으로 규정할 근거와 이 발표에 회사 홍보를 끼워 넣은 배경을 두고 논쟁이 이어졌습니다.
Ledger, 암호화폐 지갑 탈취 장치에 하드웨어 이식 확인
Ledger가 동남아시아 리셀러 CryptoBilis에서 판매한 기기에서 무단 하드웨어 이식이 발견됐다고 확인했습니다. 연구자들은 화면 신호를 읽고 eSIM과 LTE로 복구 문구를 전송하는 Nano X 변형 장치도 공개했습니다. Ledger의 정품 확인 기능은 Secure Element가 유지된 채 추가된 이식물을 찾아내지 못합니다.