OpenBao — 비밀·인증서·키를 관리하는 오픈소스 시스템
OpenBao는 비밀, 인증서, 키를 저장하고 배포하는 시스템입니다. 암호화 저장, 필요할 때 발급하는 동적 자격 증명, 만료·갱신·폐기 기능으로 여러 시스템의 비밀 정보를 관리합니다.
최신기사
AI, 개발 도구, 오픈소스, 보안과 인프라의 변화와 이용 조건을 설명하는 최신 기사와 해설입니다.
Anthropic 공식 Claude Code 플러그인 디렉터리
Anthropic이 관리하는 Claude Code 플러그인 마켓플레이스입니다. 내부 플러그인과 외부 파트너·커뮤니티 플러그인을 제공하며, 설치 방법과 플러그인 구성 형식, 이름 변경 규칙을 안내합니다. 설치 전 플러그인과 포함된 MCP 서버를 신뢰할 수 있는지 확인해야 합니다.
Claude Code 에이전트, 103초 만에 파일 4만 8천 개 삭제했다는 주장
사용자 보고에 따르면 Claude Code 에이전트가 Windows의 디렉터리 junction을 따라가며 의도한 미러 파일 외에 실제 프로젝트 파일 48,218개와 로컬 Git 객체를 삭제했습니다. Windows 경로 처리의 허점과 에이전트 권한 관리 문제를 보여주는 사례지만, 독립적인 포렌식 조사는 공개되지 않았습니다.
wifit3 — USB 어댑터만으로 구동하는 크로스플랫폼 Wi-Fi 감사 도구
wifit3는 Linux, Windows, macOS에서 USB Wi-Fi 어댑터를 다루는 독립형 감사 도구입니다. 운영체제의 기본 Wi-Fi 스택을 우회하고 사용자 공간에서 무선 기능을 제어하며, 네트워크 탐지와 WPA/WPS 관련 보안 점검 기능을 제공합니다.
기존보다 빠른 RSA 공격 기법 등장
연구진이 큰 수를 소인수분해하지 않고 RSA 서명을 위조하는 새로운 공격 기법을 제시했습니다. 1024비트 RSA에는 실제 적용했지만, 널리 쓰이는 RSA 구현은 안전하다고 기사에서 설명합니다.
Lyzr의 OpenController — 통합 제어 평면으로 모든 에이전트를 관리합니다
OpenController는 클라우드, SaaS, Kubernetes, 기기에 흩어진 AI 에이전트와 모델, 워크플로를 한곳에서 찾고 관리하는 제어 평면입니다. 자체 클러스터에 배포하며 요청 경로에서 정책을 검사해 허용되지 않는 호출을 차단합니다.
CtrlOps 1.0 — AI로 서버를 감사하고 관리하며 배포합니다
CtrlOps는 AI 명령 생성과 승인 절차, 서버 감사, 접근 관리, 배포, 모니터링을 한곳에 모은 서버 관리 도구입니다. 자격 증명은 로컬에 보관하며, 보안 감사에서는 25개 항목을 점검하고 수정 명령을 제안합니다.
파일 알림 시스템의 부채널 공격 — Linux·Android·Windows·macOS에서 사용자 행동 유출
파일 알림 API는 파일 내용을 읽지 못하는 공격자에게도 파일의 생성·수정·삭제 시점과 이름을 노출할 수 있습니다. 연구진은 네 운영체제의 동작을 분석하고 키 입력 간격 추론, WhatsApp 미디어 활동 추적, Firefox 방문 웹사이트 식별 등 사례를 보였습니다.
오디오 디버그 서비스와 벤더 HAL을 거쳐 OnePlus 15에서 루트 권한 획득
권한을 요구하지 않는 일반 앱이 OxygenOS의 AtlasService 명령 주입 취약점과 OplusLogCore HAL의 셸 실행 기능을 연결해 uid 0 권한을 얻는 과정을 공개했습니다. 연구자는 OnePlus 12 Pro와 OnePlus 15에서 같은 APK로 공격을 재현했으며, OnePlus는 여러 기기와 소프트웨어 버전이 영향을 받는다고 확인했습니다.
빈 환경에서 부팅 이미지까지: Buck2 기반 빌드 시스템 tine
tine은 Buck2를 바탕으로 RPM·Go·Rust 구성요소와 부팅 가능한 운영체제 이미지를 함께 빌드하는 시스템입니다. 입력을 모두 고정하고 빌드 작업을 격리해 재현성을 확보하며, 캐시와 패키지 관리, SBOM 생성도 지원합니다.
회사가 비용을 내지만, 우리를 믿어야 하는 사람은 직원입니다
익명 제보 SaaS를 만드는 팀이 구매자인 회사와 실제 사용자인 직원 사이의 이해 충돌을 설명합니다. IP 기록, 계정, 이메일 수집 같은 기술 결정이 직원의 신뢰와 제품 성과 지표, 마케팅에 어떤 영향을 주는지 짚습니다.
CVE-2026-91766: PHP 리다이렉트에서 인증 정보 유출, curl은 2018년에 수정한 문제
PHP의 file_get_contents()와 fopen()은 리다이렉트를 따라갈 때 Authorization, Cookie 같은 헤더를 다른 출처에도 보냈습니다. PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11에서 출처의 스킴·호스트·포트를 비교해 인증 헤더를 제거하도록 수정했습니다.
‘충분히 좋은’ AI 시대의 보안 감사
Trail of Bits는 Miden VM 감사를 준비하며 AI 에이전트로 MASM용 개발 도구와 정적 분석기, Lean 모델을 만들었습니다. 이 도구들은 서명 위조로 자금을 탈취할 수 있는 취약점과 테스트가 놓친 버그를 찾았고, 95개의 기계 검증 증명도 만들었습니다.
도난 이메일에서 송금 표적을 찾은 EvilTokens — Microsoft, 관련 사이트·도메인 200여 개 차단
Microsoft가 해킹된 이메일 계정을 분석해 송금 사기 표적을 고르도록 돕는 사이버범죄 플랫폼 EvilTokens를 해체했습니다. 관련 계정은 1만 2,000개 이상이며, 공격자들은 AI로 금융 권한이 있는 사람과 신뢰 관계를 찾아 사칭 메시지를 꾸몄습니다.
해커 집단, FBI 인사 기록 수천 건 탈취 주장
ShinyHunters가 FBI 채용 사이트에서 현직·전직 요원과 지원자의 개인정보를 탈취했다고 주장했습니다. FBI는 침해 주장을 확인하고 조사 중이며, 유출 경로는 아직 밝혀지지 않았습니다.
Flock, 자사 카메라 위치를 담은 상세 지도 삭제 요구
보안 연구자가 Flock의 공개된 인증 토큰을 이용해 기기 위치 정보를 수집하고, 카메라와 보조 장치 약 30만 대를 표시한 지도를 공개했습니다. Flock은 지도가 자사 상표를 무단 사용한다며 삭제를 요구했으며, 이 과정에서 취약점 대응과 데이터 보안 공개를 둘러싼 의문도 제기됐습니다.
해커들이 FBI 요원 전체의 정보를 훔쳤다는 주장에 FBI 수사 착수
해킹 조직 ShinyHunters가 FBI 직원 약 3만 8,000명의 개인정보를 훔쳤다고 주장해 FBI가 조사하고 있습니다. FBI는 자체 시스템이나 외부 업체 시스템이 침해됐는지 확인 중이며, 유출 정보 일부는 진짜로 보인다고 BBC가 보도했습니다.
Flock, 경찰의 차량번호 검색에 사유와 사건번호 요구
차량번호 인식 카메라 업체 Flock Safety가 경찰의 데이터베이스 검색 절차를 바꿉니다. 검색 사유를 표준 항목에서 고르게 하고 연말까지 사건번호 입력도 요구하지만, 긴급 상황에는 면제할 수 있습니다. Reddit 이용자들은 실제 확인과 처벌이 없다면 형식만 바뀔 뿐이라며 법원 영장과 독립 감사를 요구했습니다.
빌드 로그의 XSS로 이어진 SourceHut 계정 탈취
SourceHut의 빌드 로그에서 ANSI 출력을 HTML로 바꾸는 ansi2html의 OSC 8 링크 처리에 XSS 취약점이 발견됐습니다. 공격자는 공개 메일링 리스트의 CI 작업 로그에도 악성 입력을 심을 수 있었고, 피해자가 로그를 열면 세션 내 요청을 위조해 계정 권한과 배포 키에 접근할 위험이 있었습니다.
Meta Muse에 파일 시스템을 요청하자 6.8GB가 왔습니다
작성자는 Meta의 AI 비서 Muse에 세션 파일을 보관해 Google Drive로 보내 달라고 요청했고, 압축 해제 기준 6.8GB에 달하는 Linux 런타임 파일을 받았습니다. 내부 문서와 에이전트 기록, SSH 키 파일도 포함됐지만 키의 유효성이나 외부 접근 가능성은 확인하지 못했습니다.