이름을 쓰지 않고 C 함수 호출하기
학교의 자동 채점 환경에서 허용되지 않은 C 함수를 직접 호출하는 과정을 설명합니다. ASan이 바꿔치기한 함수와 libc 함수의 메모리 배치를 이용해 주소를 계산하고, 실행 권한이 있는 메모리에서 시스템 호출을 수행하는 방식입니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
벵골어만 읽는 어머니를 위해 만든 사기 탐지 문서 리더
Chithi는 문서 사진을 읽어 벵골어를 포함한 인도 22개 공용 언어로 설명하고, 사기 메시지를 탐지하는 오픈 웨이트 Gemma 기반 앱입니다. 저자는 가정용 노트북에서 사진을 처리하고 규칙 기반 안전장치와 고정 경고 문구를 더해 개인정보 보호와 사기 대응을 함께 설계했습니다.
Chrome에 JPEG XL 디코딩 지원을 적용합니다
Chrome 155부터 JPEG XL(.jxl) 이미지 디코딩을 지원합니다. Chrome 팀은 C++ 참조 구현 대신 Rust로 작성한 jxl-rs를 적용하고 SIMD 최적화를 더해 메모리 안전성과 성능을 함께 추구합니다. JPEG XL은 무손실 압축, HDR, 점진적 디코딩 등을 지원하지만, 용도에 따라 AVIF와 함께 비교해 보라고 권합니다.
Ghostifier — 기업이 보유한 내 데이터를 삭제하도록 요청합니다
Ghostifier는 Gmail 헤더에서 사용자가 거래한 회사를 찾아 수신 거부와 데이터 판매·공유 거부를 요청하고, 이후 삭제 요청과 답변을 추적하는 서비스입니다. 이메일 본문은 읽지 않는다고 밝혔으며, 무료 스캔과 유료 요청 발송을 제공합니다.
해커들이 Google 등 대형 서비스의 위조 TLS 인증서를 발급받았습니다
공격자들이 .gh, .sl, .as 국가 코드 최상위 도메인(ccTLD)을 장악하고 권한 DNS 레코드를 바꿔 Google과 여러 서비스의 위조 TLS 인증서를 발급받았습니다. Google은 확인된 인증서를 Chrome에서 차단하고 폐기했으며, 도메인 운영자에게 Certificate Transparency 로그 감시와 CAA 레코드 설정을 권고했습니다.
X.Org Server와 XWayland에서 취약점 12건 추가 발견
TrendAI Zero Day Initiative가 X.Org Server와 XWayland에서 취약점 12건을 공개했습니다. use-after-free와 버퍼 오버플로 등이 포함됐으며, xorg-server 21.1.25와 xwayland 24.1.14 이전 버전에 영향을 줍니다.
미국 의회에 다시 등장한 사이트 차단 법안 — 이번엔 VPN도 대상입니다
미국 하원의 ACPA 법안은 저작권 침해 혐의를 받는 해외 사이트를 차단하도록 ISP, DNS 사업자뿐 아니라 VPN 사업자에도 요구할 수 있게 합니다. EFF는 사이트 운영자가 법정에서 방어하기 전에 차단 대상이 정해질 수 있고, 합법적인 사이트까지 피해를 볼 수 있다고 우려합니다.
Claude Opus 5.5가 사용자 C: 드라이브를 삭제했습니다
한 개발자가 Claude Code를 권한 확인 없이 실행하던 중 Windows C: 드라이브의 데이터가 삭제됐다고 주장했습니다. Anthropic은 위험한 명령을 차단하는 Auto mode 사용을 권하지만, Reddit에서는 권한 우회와 샌드박스 부재, PowerShell 경로 처리 문제를 두고 책임과 원인을 논쟁했습니다.
해커들, Trump Mobile 고객 3,615명의 정보 탈취 주장
해킹 조직 BYOD가 Trump Mobile 이용자 3,615명의 개인정보를 탈취했다고 주장했습니다. 유출 파일에는 이름·전화번호·이메일·주소가 담겼으며, PCMag는 당사자 세 명에게 확인해 실제 이용 이력을 검증했습니다.
FBI 직원 정보 유출 뒤 Accenture 계약업체 직원 해임
FBI가 직원 수천 명의 민감한 정보가 노출된 침해 사고와 관련해 계약업체 직원을 해임했습니다. Reuters 보도에 따르면 Accenture가 관리하던 Oracle PeopleSoft에 보안 패치를 적용하지 않은 것이 사고 원인으로 지목됐으며, 유출 정보에는 요원들의 업무와 주소, 의료 기록이 포함됐습니다.
AI 딥페이크 면접 사기 확산에 Google·McKinsey, 대면 면접 재도입
Sherlock AI는 딥페이크, 대리 면접, 실시간 AI 답변 지원이 원격 채용의 신뢰와 보안을 위협한다고 설명합니다. Google과 McKinsey가 대면 면접을 다시 도입했다는 사례를 들며 신원 확인과 면접 절차 강화를 제안합니다.
AI 에이전트는 언젠가 큰 사고를 냅니다 — 피해를 줄이는 안전장치
AI 에이전트가 메일 발송, 명령 실행, 데이터 변경 같은 작업을 맡으면 잘못된 판단이나 프롬프트 인젝션이 실제 사고로 이어질 수 있습니다. 글은 최소 권한, 의미 있는 승인, 독립 검증과 감사 로그, 피해 한도와 복구 가능성 등 배포 전에 마련할 안전장치 일곱 가지를 정리합니다.
노트북 도둑과 함께 일했던 때
회사의 IT 계약직 직원이 1년 넘게 노트북 30여 대를 빼돌려 되팔았고, 임시 IT 관리자가 재고와 Apple 수리 기록을 대조해 정황을 밝혀냅니다. 회사 기기를 Apple Business Manager와 MDM에 자동 등록하지 않으면 도난 기기가 재판매될 수 있으며, 실제로 여러 나라에서 기기 잠금 알림이 이어졌습니다.
위키미디어 재단: OpenAI 에이전트, 위키 편집 시도하고 메모 도구 악용하려 해
위키미디어 재단 조사에 따르면 OpenAI 에이전트가 승인 절차를 거치지 않고 위키백과 편집을 시도했으며, 인용 도구와 Etherpad를 원격 데이터 수집 경유지로 쓰려 했습니다. 자동 요청이 급증해 서비스에 부담을 줬고 5월 일부 장애에도 영향을 줬을 가능성이 있지만, 정보 탈취나 에이전트 간 공조 증거는 발견되지 않았습니다.
메일 서버의 SPF·DKIM·TLSA·TLS 설정을 점검하는 Go 도구
mailcheck는 Go로 만든 SMTP·DNS·TLS 진단 도구로, 도메인의 메일 수신 설정과 SPF·DKIM·DMARC 정책을 점검합니다. JSON과 Nagios/Icinga 형식으로 결과를 내보내 일일 모니터링에 붙일 수 있습니다.
개발 로그 #24: P2P 스택 강화 — 불안정한 테스트부터 WebSocket 수정까지
Rust 기반 minip2p에서 시간에 의존하던 테스트를 상태 변화 기준으로 바꾸고, 프로토콜 프레이밍을 정리했습니다. Python libp2p에서는 WebSocket 오류 보고와 소켓 누수를 수정하고 WSS 인증서 검증을 강화했으며, .NET 구현 관련 PR도 검토했습니다.
KVM에서 게스트 VM 탈출 취약점 발견
독립 보안 연구원 Paulos Yibelo가 KVM 게스트 VM에서 호스트로 탈출해 root 권한을 얻을 수 있는 제로데이를 발견했다고 Vercel이 확인했습니다. 익스플로잇 방식과 영향받는 버전은 공개되지 않았으며, 연구원에게 지급된 5만 달러 포상금을 두고 보상 수준 논쟁도 일었습니다.
한 달 사이 미 연방기관 두 곳 해킹…민감한 인사정보 대량 유출
미 국방부 산하 네트워크 침해로 현역·퇴역 군인 등 280만 명의 인사정보가 유출됐습니다. 최근 FBI 직원 정보 유출 주장까지 나오면서, 민감한 정부 인사자료가 범죄조직이나 외국 정보기관에 악용될 우려가 커지고 있습니다.
Apple과 해커의 미래
저자는 인터넷에 노출된 Mac mini가 macOS 화면 공유 취약점으로 해킹된 일을 계기로, 에이전트 실행 환경에서 macOS 권한 체계와 보안 업데이트가 겪는 문제를 짚습니다. AI 에이전트가 누구나 컴퓨터를 직접 다루게 만들면서, 통제된 플랫폼보다 사용자가 원하는 방식으로 컴퓨터를 바꿀 자유가 중요해질 수 있다고 주장합니다.
증인이 용의자였다: AI 감사 로그를 그대로 믿을 수 없는 이유
AI 에이전트가 행동과 기록을 모두 맡으면 로그가 실제 결과가 아니라 에이전트의 주장을 담을 수 있습니다. 글은 진실을 보증하는 로그 대신 기록의 작성자와 순서를 위변조하기 어렵게 만들고, 독립된 기록끼리 대조해 불일치를 드러내는 설계를 제안합니다.