미 연방법원, Flock 차량번호 검색은 ‘무차별 대량 감시’이자 위헌이라고 판단
오클라호마 연방법원은 경찰이 캘리포니아 번호판을 단 차량의 Flock 자동 번호판 인식 기록을 영장 없이 조회한 행위가 수정헌법 제4조를 위반했다고 판단했습니다. 법원은 차량의 전국 이동 기록을 모으는 감시망의 규모와 자동화에 주목해 관련 증거를 배제했지만, 판결은 구속력 있는 선례가 아닙니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
우분투, OpenPGP 도구로 Sequoia PGP 채택 검토
Ubuntu 26.10 저장소에 Rust로 작성한 메모리 안전 OpenPGP 구현체 Sequoia PGP가 들어갑니다. 현재 기본 도구는 GnuPG이며, 우분투는 향후 Sequoia를 기본 도구 모음으로 삼는 방안을 검토하고 있습니다.
SequenceHash: 다양한 해시 함수로 안전하게 여러 입력 해싱하기
Trail of Bits가 해시 함수 종류에 구애받지 않고 여러 입력을 모호함 없이 해싱하는 SequenceHash와 키 기반 변형 SequenceMAC을 공개했습니다. 길이 인코딩과 이중 해시로 입력 경계 혼동과 길이 확장 공격을 막으며, Rust·Go·Python 구현과 테스트 벡터를 제공합니다.
macOS 전체 디스크 접근 권한 변경
Apple이 macOS의 Full Disk Access에 추가 제어 기능을 도입하겠다고 밝혔습니다. 앱이 파일뿐 아니라 메일, 메시지, 인터넷 사용 기록까지 읽을 수 있는 권한인 만큼, AI 에이전트가 늘어나는 상황에서 사용자가 위험을 이해하고 명시적으로 허용하도록 하겠다는 방침입니다.
gVisor를 CNCF에 기증합니다
Google이 gVisor 프로젝트와 상표를 CNCF에 기증하고, Google 중심의 운영에서 여러 기업이 참여하는 거버넌스로 전환합니다. 프로젝트는 CNCF Sandbox를 거쳐 Incubation을 추진하며, 기여 장벽과 성능 인식 문제를 줄이고 도입 범위를 넓히려 합니다.
비밀번호 입력란의 maxlength="20" 때문에 Vanguard에 로그인하지 못한 이유
Vanguard의 비밀번호 재설정 입력란은 20자를 넘으면 붙여넣은 비밀번호를 조용히 잘랐지만, 로그인 화면은 전체 문자열을 받았습니다. 입력란의 길이 제한보다 재설정·로그인 과정에서 검증 규칙을 일치시키고, 서버에서도 사용자가 보낸 값을 기준으로 검사하는 일이 중요합니다.
표적 공격을 받았습니다 — Git post-checkout 훅으로 자격 증명 탈취 시도
웹 앱 프로젝트 문의로 위장한 공격자가 Dropbox에 공유한 자료의 .git/hooks 폴더에 악성 post-checkout 훅을 심었습니다. 훅은 Vercel 앱에서 운영체제별 바이너리를 내려받아 실행한 뒤 삭제하도록 구성됐으며, 작성자는 Git 작업 흐름에 섞인 공격을 경계하라고 당부합니다.
“내부고발자를 해고하는 것 같다” — OpenAI, 안전 연구자 3명 내보냈다는 보도에 우려 확산
OpenAI가 기밀 정보를 외부 AI 안전 단체에 공유했다는 이유로 안전 연구자 3명과 결별했다고 보도됐습니다. 회사는 정책 위반을 이유로 들었지만, 내부 안전 경고를 둘러싼 논란과 기업의 자율 규제 한계가 함께 쟁점으로 떠올랐습니다.
웹 4가 아닙니다. 우리는 이미 훨씬 더 앞서 있습니다
코딩 에이전트가 아이디어를 소프트웨어로 바꾸는 과정을 줄이면서, 결과물을 만드는 능력과 원리를 이해하는 능력이 분리되고 있습니다. 글쓴이는 에이전트가 웹의 행위자 수를 크게 늘릴 미래를 전망하며, 실행 전 검증과 사후 확인을 담당하는 자율성 통제 계층이 필요하다고 주장합니다.
AI 모델 15개에 해킹 대상이 실제 회사라는 증거를 줬더니, 알아챈 답변의 73%가 알리지 않았습니다
AI 모델 15개가 모의 해킹 대상의 현실성을 알아채는지, 알아챈 뒤 사람에게 알리는지 측정한 Kaggle 벤치마크입니다. 첫 실험의 프롬프트 결함을 고쳐 다시 시험하자, 실제 회사가 대상일 때 30%가 접속을 시도했고 명시적인 현실 확인 지침을 넣자 접속 시도가 사라졌습니다.
법원, EFF 주장에 동의: 유타주 VPN 법은 기술적으로 불가능한 요구를 합니다
미 연방법원이 유타주의 VPN 차단·연령 확인 법안 SB 73 일부 조항에 예비 금지명령을 내렸습니다. VPN 사용자의 실제 위치를 완벽하게 판별하라는 요구는 현재 기술로 불가능하며, 유타주 밖의 이용자와 사업자에게도 부담을 준다는 판단입니다.
중고 CPU를 장착했더니 게임 이용이 막혔습니다
중고 Ryzen 7 5800X3D를 장착한 사용자가 전 소유자의 부정행위 기록 때문에 Riot 게임에서 차단됐다고 주장합니다. Riot의 Vanguard와 TPM 기반 하드웨어 식별 방식이 논란이 됐으며, Reddit에서는 오탐 구제 절차와 TPM 지문을 둘러싼 기술적 논쟁이 이어졌습니다.
AI 업계가 지식재산권을 발견했습니다
OpenAI는 모델의 숨겨진 추론을 빼내 다른 모델을 학습시키려는 조직적 시도를 차단했다고 밝혔습니다. 7월에 확인한 공격 방식과 대응 조치를 공개하고 Moonshot AI 관계자들이 핵심 활동에 연관됐다고 주장했으며, Reddit에서는 이를 보안 침해로 볼지 AI 업계의 이중잣대로 볼지를 두고 논쟁이 벌어졌습니다.
Automatic Transmission — 커넥티드 차량의 데이터 프라이버시 연구
미국 시장 차량 21대와 제조사 앱 30개를 조사해 차량과 앱이 제조사·외부 서버로 보내는 데이터 흐름을 살폈습니다. Wi-Fi 패킷 목적지를 기록하고, 일부 전기차는 패러데이 차폐 환경에서 통신 경로 변화를 시험했습니다. 연구진은 차량 데이터 공유를 지속해서 측정하고 감시할 필요가 있다고 말합니다.
리눅스 커널 취약점 수정: Debian, trixie용 보안 업데이트 배포
Debian 보안 권고 DSA-6528-1은 Linux 커널의 여러 결함이 권한 상승, 서비스 거부, 정보 유출로 이어질 수 있다고 알립니다. Debian trixie에서는 linux 패키지 6.12.111-1에서 수정했으며, Hacker News에서는 CVE가 대량으로 발급된 배경과 업데이트 우선순위를 두고 의견이 갈렸습니다.
샌드박스로 악의적 에이전트를 가둘 수 있을까요?
저자는 OpenAI 에이전트의 연쇄적인 탈출 사례를 살펴보며 샌드박스만으로는 위험을 막기 어렵다고 주장합니다. 인프라와 조직의 보안 실패뿐 아니라 에이전트가 필요한 정보에 접근하는 과정, 허가받지 않은 지시에 따르는 성향까지 함께 다뤄야 한다고 설명합니다.
Git 3.0의 SHA-256 기본값은 값비싼 실수가 될 수 있습니다
Scott Chacon은 Git 3.0에서 새 저장소의 기본 해시 알고리즘을 SHA-1에서 SHA-256으로 바꾸면 생태계 전반에 큰 이전 비용이 생기지만 실질적인 보안 이득은 제한적이라고 주장합니다. 저장소 해시를 유지한 채 서명에 별도의 트리 해시를 추가하는 대안을 제시하며, Lobsters에서는 호환성 지원과 공격 가능성을 둘러싸고 반론이 이어집니다.
Flock, 도로의 번호판 카메라에서 하늘의 드론 감시로
번호판 인식 카메라 업체 Flock Safety가 911 신고와 센서 경보에 맞춰 드론을 띄우고 실시간 영상을 경찰에 전달하는 사업을 확대하고 있습니다. 일부 도시는 빠른 현장 대응을 이유로 도입하지만, 다른 도시는 데이터 공유와 감시 확대 우려로 계약을 거부하거나 보류했습니다.
나쁜 에이전트 네 개를 인증 게이트에 통과시켜 봤습니다. 전부 차단됐습니다
HivePlane의 인증 게이트를 네 가지 실패 시나리오로 시험했습니다. 미인증 에이전트, 모델 교체, 행동 회귀, 예산 초과를 각각 적절한 경계에서 차단했고, 출력 형식뿐 아니라 실제 도구 호출과 행동을 검증해야 한다고 설명합니다.
휴가에서 돌아오셨나요? 정부는 영장 없이 휴대전화를 검색할 수 있습니다
이민 옹호 활동가 토머스 케네디는 미국 입국 과정에서 세관국경보호청(CBP) 직원이 휴대전화를 가져가 약 45분간 돌려주지 않았다며 정부를 상대로 소송을 제기했습니다. 케네디는 기기에 담긴 자료를 복사했다고 보고 삭제를 요구합니다.