iFixAi — AI 에이전트의 정렬 문제를 찾는 독립 감사
iFixAi는 AI 에이전트가 업무 규칙과 권한을 지키는지 검사하는 독립 감사 서비스입니다. 69개 범주, 250개 이상의 검사 항목으로 레드팀 테스트와 운영·거버넌스 관점을 결합하고, 기업용 위험 보고서와 엔지니어가 조사할 증거를 제공합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
Show HN: Linux용 WSL, NSL
NSL은 공유 가상 머신 안에서 systemd-nspawn 컨테이너를 실행해, Linux 호스트를 건드리지 않고 개발 환경을 따로 운영하는 도구입니다. 여러 배포판을 선택하고 호스트 파일·포트·Wayland와 연동할 수 있으며, 신뢰하지 않는 소프트웨어는 별도 VM으로 격리합니다.
SQL 쿼리 빌더의 두 가지 유형
SQL 쿼리 빌더는 파이프라인이 데이터 처리 과정을 나타내는 ‘데이터 지향’ 방식과 SQL 문법 트리를 채우는 ‘문법 지향’ 방식으로 나뉩니다. 글은 두 방식의 동작 차이와 한계를 설명하고, SQL의 폭넓은 기능을 데이터 지향 인터페이스로 다루도록 설계한 FunSQL을 소개합니다.
코드 리뷰는 권한 경계가 아닙니다
AI가 생성한 코드의 안전성을 코드 리뷰와 테스트에만 맡기면, 코드가 실제로 행사할 권한은 통제하지 못합니다. 글쓴이는 최소 권한(capability-based security)을 적용한 실험으로 권한을 런타임에서 제한하는 방법과 자동 권한 발견 방식의 한계를 보여줍니다.
Deser: Rust 직렬화를 다시 생각하다
Rust 직렬화 라이브러리 Serde의 데이터 모델과 재귀 설계가 만드는 제약을 짚고, 이벤트를 힙에 쌓는 새 라이브러리 Deser를 소개합니다. Deser는 오류 위치와 확장 값 처리, 중첩 데이터의 스트리밍을 개선하지만 protobuf를 지원하지 않으며 성능과 바이너리 크기에서 비용을 치릅니다.
GitHub 프로필 자동화가 공격자에게 보여주는 것들
프로필 README를 자동 갱신하는 GitHub Actions 워크플로에는 토큰 권한, 액션 버전, 외부 코드 실행 방식이 드러납니다. 글은 최소 권한 설정, 액션 SHA 고정, 토큰 범위 제한으로 자동화 기능을 유지하면서 공격 표면을 줄이는 방법을 설명합니다.
MotifCentral — Motif, Xt, Xlib 자료 모음
MotifCentral은 Motif, Xt, Xlib, X11의 관계와 프로그래밍 자료를 한곳에 모은 사이트입니다. 첫 Motif 애플리케이션 제작 안내부터 라이브러리 역사, 예제와 오래된 문서 탐색 자료까지 제공합니다.
Dots: 24시간 작동하는 AI 에이전트
OpenAI가 ChatGPT에서 상시 작동하는 에이전트 Dots를 선보였습니다. 자체 클라우드 컴퓨터와 연결 앱을 활용해 여러 작업을 진행하고, 사용자의 피드백과 선호를 반영합니다. 읽기 전용 백그라운드 조사, 권한 설정, 승인 절차를 제공하지만, Hacker News에서는 보안과 비용, 데이터 종속 우려가 함께 나왔습니다.
hey — ApacheBench 대체용 HTTP 부하 생성기
hey는 웹 애플리케이션에 HTTP 요청을 보내 부하를 발생시키고 응답 통계를 출력하는 작은 CLI 도구입니다. 요청 수나 실행 시간, 동시 작업자 수, 요청률을 지정하며 HTTP/2도 지원합니다.
Poper Blocker: 사용자를 감시하는 광고 차단 확장 프로그램
보안 연구진은 Poper Blocker가 방문 URL과 AI 대화 내용을 수집하고, 서버에서 받은 프로그램으로 수집 대상을 바꾼다고 보고합니다. 200만 명 넘게 쓰는 확장 프로그램이 원격 명령과 탐지 회피 기능을 갖췄다는 분석입니다.
DBX — 약 25MB로 100개 이상의 데이터베이스를 다루는 크로스플랫폼 클라이언트
DBX는 데스크톱·웹·CLI에서 100개 이상의 데이터베이스와 메시징 시스템을 관리하는 오픈소스 클라이언트입니다. AI 질의와 MCP 연동을 제공하며, 자격 증명 암호화와 MCP 접근 권한 설정도 지원합니다.
닮은꼴 문자를 섞어도 계약서는 제대로 읽었지만, 토큰은 최대 5.7배 늘었습니다
작성자는 계약서의 라틴 문자를 닮은 유니코드 문자로 바꿔 GPT와 Claude 모델 7종을 시험했습니다. 모델은 조항을 잘못 읽지 않았지만 입력 토큰은 최대 5.7배, 질문 비용은 최대 3.92배 늘었습니다. 문자 정규화로 비용 증가를 막는 방법도 제시합니다.
CybeDefend VibeDefend — Cursor와 Claude Code를 한 번의 명령으로 보호합니다
VibeDefend는 AI 코딩 에이전트가 코드를 쓰는 동안 저장소에서 추출한 업무 규칙과 보안 규칙을 적용하고, 코드 변경과 위험한 셸 명령을 검사합니다. 커밋 뒤에 동작하는 스캐너와 달리 작성 단계에서 규칙 위반을 막는 방식이며, Claude Code·Cursor 등 여러 에이전트를 지원합니다.
Vitals — 프로세스 대신 앱 단위로 보여주는 Mac 활동 모니터
Vitals는 여러 보조 프로세스를 실행한 앱에 묶어 CPU, 메모리, 에너지, 디스크, 네트워크 사용량을 앱별로 보여주는 macOS 모니터링 앱입니다. 30일 기록과 알림, 프로젝트별 개발 서버 확인 기능을 제공하며, Product Hunt 등록자는 출시 72시간 동안 800개 넘는 라이선스가 판매됐다고 밝혔습니다.
EmDash 1.0 출시 — 보안 플러그인 레지스트리를 갖춘 CMS
Cloudflare가 Astro 기반 오픈소스 CMS EmDash 1.0을 공개했습니다. 서명된 플러그인 배포 기록을 검증하고 플러그인별 권한을 격리하는 구조가 특징이며, Cloudflare Blog 운영 경험으로 편집·미디어·확장성 기능을 다듬었습니다.
JavaScript가 부딪히는 7가지 한계와 WebAssembly가 넘는 방법
WebAssembly(Wasm)가 JavaScript를 대체하기보다 계산 집약 작업, 신뢰할 수 없는 코드 실행, 플러그인 격리 같은 특정 문제를 해결한다고 설명합니다. Google Sheets, Figma, Shopify 등의 사례를 들고, 성능·격리·이식성의 장점과 디버깅·바이너리 크기 같은 비용을 함께 짚습니다.
Cloudflare API 전체를 다루는 에이전트용 CLI, cf
Cloudflare가 기존 Wrangler의 약 280개 명령을 3,000개가 넘는 API 작업으로 확장한 새 CLI ‘cf’를 공개했습니다. JSON 기본 출력, 자연어 명령 검색, TypeScript 설정 파일, Vite 기반 개발 환경을 제공하며 에이전트가 Cloudflare 제품을 탐색하고 다루도록 설계했습니다.
두 엔진이 모두 멈췄습니다 — 데이터 제공자 두 곳의 정책 변경으로 정비고에 들어간 앱
항공기 추적 앱의 지도 제공자 CARTO와 비행 데이터 제공자 OpenSky Network가 각각 정책을 바꾸면서 서비스가 멈췄습니다. 작성자는 지도 API 키를 적용하고, 오진을 부르는 오류 메시지와 TCP 연결 시간 초과를 추적한 뒤, 제공자를 어댑터로 분리하고 명확한 점검 화면을 띄웠습니다.
HardenedBSD 2026년 8~9월 현황 보고
HardenedBSD가 분기별 릴리스 준비와 소스 트리·인프라 변경 사항을 보고합니다. 실험 단계인 bounds-safety 플래그를 사용자 공간에 연결했고, Radicle 취약점의 영향과 Tor 사용 권고, Radicle의 iroh 이전에 대한 우려도 설명합니다.
Discord, 연령 확인 재도입에 또 반발과 오류
Discord가 연령 확인을 다시 도입하면서 이용자 나이를 자동 추정하고, 성인으로 분류되지 않은 이용자에게 신분증 외 여러 확인 방법을 제공합니다. 오분류와 플랫폼 간 확인 상태 불일치, 개인정보 우려에 더해 조롱조의 공식 게시물까지 논란을 키웠습니다.